🇰🇷 한글 설명
Kubernetes에서 사용자가 Pod 트래픽을 노드의 프라이빗 네트워크로 리다이렉트할 수 있는 보안 문제가 발견되었습니다. 기존에는 Endpoint IP에 대해 localhost 또는 link-local 범위 생성을 방지했으나, EndpointSlice IP에 대해서는 동일한 검증이 수행되지 않았습니다.
💡 쉬운 설명
해커가 네트워크 설정을 조작하여 데이터가 원래 목적지가 아닌 내부의 비밀 네트워크로 흘러가게 만들 수 있는 결함입니다. 이는 서비스의 통신 경로를 가로채는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
A security issue was discovered in Kubernetes where a user may be able to redirect pod traffic to private networks on a Node. Kubernetes already prevents creation of Endpoint IPs in the localhost or link-local range, but the same validation was not performed on EndpointSlice IPs.
📍 영향받는 시스템
Kubernetes EndpointSlice 기능을 사용하는 이전 버전의 Kubernetes 클러스터
⚔️ 공격 벡터
EndpointSlice 리소스를 생성할 때 검증되지 않은 프라이빗 IP 범위를 지정하여 트래픽을 유도함
🛡️ 대응 방법
EndpointSlice IP에 대해서도 localhost 및 link-local 범위 검증이 포함된 최신 버전의 Kubernetes로 업데이트
🔧 검증 코드
출력된 Kubernetes 서버 버전을 확인하여 보안 패치가 적용된 최신 버전인지 대조함