🇰🇷 한글 설명
Kubernetes가 프록시 연결 시 link-local 또는 localhost 네트워크 접근을 차단하기 위해 수행하는 DNS 검증 로직의 취약점입니다. 비표준 DNS 서버가 검증 시와 실제 연결 시 서로 다른 IP를 반환할 경우, 프록시 제한을 우회하여 컨트롤 플레인의 프라이빗 네트워크에 접근할 수 있습니다.
💡 쉬운 설명
쿠버네티스가 보안을 위해 주소를 확인하는 과정에서, 속임수를 쓰는 DNS 서버를 만나면 검사할 때와 실제 접속할 때의 주소를 다르게 속여 내부 네트워크에 몰래 들어갈 수 있는 문제입니다.
🇺🇸 원문 (English)
As mitigations to a report from 2019 and CVE-2020-8555, Kubernetes attempts to prevent proxied connections from accessing link-local or localhost networks when making user-driven connections to Services, Pods, Nodes, or StorageClass service providers. As part of this mitigation Kubernetes does a DNS name resolution check and validates that response IPs are not in the link-local (169.254.0.0/16) or localhost (127.0.0.0/8) range. Kubernetes then performs a second DNS resolution without validation for the actual connection. If a non-standard DNS server returns different non-cached responses, a user may be able to bypass the proxy IP restriction and access private networks on the control plane.
📍 영향받는 시스템
Kubernetes versions prior to 1.18.3, 1.17.7, 1.16.11, 1.15.15
⚔️ 공격 벡터
비표준 DNS 서버를 이용한 DNS Rebinding 공격을 통해 프록시 IP 제한 우회
🛡️ 대응 방법
Kubernetes를 취약점이 해결된 최신 패치 버전(1.18.3, 1.17.7, 1.16.11, 1.15.15 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
kubectl version --short | grep -E 'v(1\.18\.[0-2]|1\.17\.[0-6]|1\.16\.[0-10]|1\.15\.[0-14])'