🇰🇷 한글 설명
CNCF CNI 0.7.4 버전의 'portmap' 플러그인에서 네트워크 방화벽 설정 오류가 발견되었습니다. 이 오류로 인해 HostPort 규칙이 KUBE-SERVICES 체인보다 우선순위를 갖게 되어, 더 구체적인 서비스 정의 규칙이 있더라도 잘못된 트래픽 매칭이 발생할 수 있습니다.
💡 쉬운 설명
네트워크 통행 규칙의 순서가 잘못 설정되어, 특정 서비스로 가야 할 데이터가 엉뚱한 곳으로 먼저 전달될 수 있는 문제입니다. 이로 인해 보안 설정이 의도치 않게 무시될 위험이 있습니다.
🇺🇸 원문 (English)
Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 has a network firewall misconfiguration which affects Kubernetes. The CNI 'portmap' plugin, used to setup HostPorts for CNI, inserts rules at the front of the iptables nat chains; which take precedence over the KUBE- SERVICES chain. Because of this, the HostPort/portmap rule could match incoming traffic even if there were better fitting, more specific service definition rules like NodePorts later in the chain. The issue is fixed in CNI 0.7.5 and Kubernetes 1.11.9, 1.12.7, 1.13.5, and 1.14.0.
📍 영향받는 시스템
CNCF CNI 0.7.4, Kubernetes 1.11.9 미만, 1.12.7 미만, 1.13.5 미만, 1.14.0 미만 버전
⚔️ 공격 벡터
잘못된 iptables 규칙 우선순위를 이용한 네트워크 트래픽 우회 및 비정상적 포트 매핑 유도
🛡️ 대응 방법
CNI 0.7.5 이상 또는 수정된 Kubernetes 버전(1.11.9, 1.12.7, 1.13.5, 1.14.0 이상)으로 업데이트
🔧 검증 코드
출력된 Kubernetes 버전이 취약점이 해결된 버전(1.11.9, 1.12.7, 1.13.5, 1.14.0 이상)인지 확인합니다.
kubectl version --short | grep -E 'Build Date|GitVersion'