🇰🇷 한글 설명
Ceph RBD를 스토리지 프로비저너로 사용하는 Kubernetes 클러스터에서 로그 레벨이 4 이상일 경우, Ceph RBD 관리자 비밀 정보가 로그에 기록될 수 있는 취약점입니다. 이 문제는 kube-controller-manager가 Ceph RBD 영구 클레임을 프로비저닝하는 과정에서 발생합니다.
💡 쉬운 설명
쿠버네티스 시스템이 저장 공간을 준비하는 과정에서 중요한 비밀번호를 로그 파일에 그대로 남겨두는 보안 결함입니다. 로그 파일을 볼 수 있는 권한이 있다면 시스템의 중요한 관리 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
In Kubernetes clusters using Ceph RBD as a storage provisioner, with logging level of at least 4, Ceph RBD admin secrets can be written to logs. This occurs in kube-controller-manager's logs during provisioning of Ceph RBD persistent claims. This affects < v1.19.3, < v1.18.10, < v1.17.13.
📍 영향받는 시스템
Kubernetes < v1.19.3, < v1.18.10, < v1.17.13
⚔️ 공격 벡터
로그 파일에 노출된 Ceph RBD 관리자 비밀 정보를 탈취하여 스토리지 권한 획득
🛡️ 대응 방법
Kubernetes를 취약점이 해결된 버전(v1.19.3, v1.18.10, v1.17.13 이상)으로 업데이트하거나 로그 레벨을 4 미만으로 설정
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 해당하면 업데이트가 필요하며, 아무것도 출력되지 않거나 안전한 버전이 나오면 보안 조치가 된 것입니다.
kubectl version --short 2>/dev/null | grep -E 'v1\.(19\.[3-9]|18\.(1[0-9]|1[1-9]|[2-9][0-9])|17\.(1[3-9]|[2-9][0-9]))' || echo 'Version check completed'