🇰🇷 한글 설명
Kubernetes Secrets Store CSI Driver의 Vault, Azure, GCP 플러그인 특정 버전에서 발생하는 취약점입니다. 공격자가 특수하게 제작된 SecretProviderClass 객체를 생성할 경우, 호스트 파일 시스템의 임의 경로(예: /var/lib/kubelet/pods)에 파일을 쓸 수 있습니다.
💡 쉬운 설명
해커가 조작된 설정 파일을 만들어 서버의 중요한 시스템 파일에 몰래 데이터를 저장하거나 수정할 수 있는 문제입니다. 이를 통해 서버의 보안 통제권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Kubernetes Secrets Store CSI Driver Vault Plugin prior to v0.0.6, Azure Plugin prior to v0.0.10, and GCP Plugin prior to v0.2.0 allow an attacker who can create specially-crafted SecretProviderClass objects to write to arbitrary file paths on the host filesystem, including /var/lib/kubelet/pods.
📍 영향받는 시스템
Kubernetes Secrets Store CSI Driver Vault Plugin < v0.0.6, Azure Plugin < v0.0.10, GCP Plugin < v0.2.0
⚔️ 공격 벡터
악의적으로 구성된 SecretProviderClass 객체 생성을 통한 호스트 파일 시스템 쓰기 공격
🛡️ 대응 방법
해당 플러그인들을 최신 보안 패치 버전(Vault v0.0.6 이상, Azure v0.0.10 이상, GCP v0.2.0 이상)으로 업데이트하십시오.
🔧 검증 코드
설치된 CSI Driver 플러그인의 버전을 확인하여 취약한 버전 범위에 포함되는지 검토하십시오.
kubectl get secretproviderclass -A -o json | grep -E 'vault|azure|gcp' && helm list -A | grep csi-secrets-store