🇰🇷 한글 설명
Kubernetes의 MutatingWebhookConfiguration 또는 ValidatingWebhookConfiguration 응답을 제어하는 공격자가 kube-apiserver의 요청을 apiserver의 내부 네트워크로 리다이렉션할 수 있는 보안 취약점이 발견되었습니다. 로그 레벨이 10으로 설정된 경우, 공격자는 로그를 통해 리다이렉션된 응답과 헤더 정보를 탈취할 수 있습니다.
💡 쉬운 설명
쿠버네티스 설정 권한을 가진 사람이 시스템의 요청을 엉뚱한 내부 네트워크로 돌려 정보를 훔쳐볼 수 있는 문제입니다. 특히 시스템 로그를 아주 상세하게 남기도록 설정해 두었다면, 공격자가 중요한 정보를 로그에서 읽어갈 위험이 있습니다.
🇺🇸 원문 (English)
A security issue was discovered in Kubernetes where actors that control the responses of MutatingWebhookConfiguration or ValidatingWebhookConfiguration requests are able to redirect kube-apiserver requests to private networks of the apiserver. If that user can view kube-apiserver logs when the log level is set to 10, they can view the redirected responses and headers in the logs.
📍 영향받는 시스템
Kubernetes (Webhook Configuration 제어 권한을 가진 사용자 및 로그 레벨 10 설정 환경)
⚔️ 공격 벡터
Webhook 설정 조작을 통한 kube-apiserver 요청의 내부 네트워크 리다이렉션 및 로그 탈취
🛡️ 대응 방법
Kubernetes 버전을 최신 보안 패치가 적용된 버전으로 업데이트하고, 운영 환경에서 로그 레벨을 불필요하게 높게(10) 설정하지 않도록 관리합니다.
🔧 검증 코드
출력된 설정 내용 중 외부 또는 신뢰할 수 없는 네트워크로의 리다이렉션 설정이 있는지 확인합니다.
kubectl get mutatingwebhookconfigurations,validatingwebhookconfigurations -o yaml