🇰🇷 한글 설명
외부 IDP(Identity Provider)가 활성화된 MinIO Operator Console에서 인증 우회 취약점이 발견되었습니다. v0.12.2 및 이전 버전의 모든 사용자가 영향을 받으며, 보안을 위해 0.12.3 이상 버전으로 업데이트가 권장됩니다.
💡 쉬운 설명
로그인 과정을 거치지 않고도 관리자 화면에 접속할 수 있는 보안 결함이 발견되었습니다. 외부 로그인 기능을 사용할 때 발생하며, 반드시 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Minio console is a graphical user interface for the for MinIO operator. Minio itself is a multi-cloud object storage project. Affected versions are subject to an authentication bypass issue in the Operator Console when an external IDP is enabled. All users on release v0.12.2 and before are affected and are advised to update to 0.12.3 or newer. Users unable to upgrade should add automountServiceAccountToken: false to the operator-console deployment in Kubernetes so no service account token will get mounted inside the pod, then disable the external identity provider authentication by unset the CONSOLE_IDP_URL, CONSOLE_IDP_CLIENT_ID, CONSOLE_IDP_SECRET and CONSOLE_IDP_CALLBACK environment variable and instead use the Kubernetes service account token.
📍 영향받는 시스템
MinIO Operator Console v0.12.2 및 그 이전 버전
⚔️ 공격 벡터
외부 IDP 설정이 활성화된 상태에서 인증 절차를 우회하여 콘솔에 접근
🛡️ 대응 방법
MinIO Operator를 v0.12.3 이상으로 업데이트하거나, 업데이트 불가 시 Kubernetes 배포 설정에서 automountServiceAccountToken을 false로 설정하고 외부 IDP 환경 변수를 제거함
🔧 검증 코드
출력된 이미지 태그 버전이 v0.12.2 이하인지 확인하여 취약 여부를 판단함
kubectl get deployment -n minio-operator -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -oE 'minio/operator:[^ ]+'