🇰🇷 한글 설명
Styra Open Policy Agent (OPA) Gatekeeper 3.7.0 이하 버전에서 동시성 처리 오류로 인해 잘못된 접근 제어가 발생할 수 있습니다. 데이터 복제 과정 중 복제가 완료되기 전에 요청을 처리함으로써 Kubernetes 클러스터 상태와 OPA/Gatekeeper 간의 불일치가 발생하며, 이는 정책 우회로 이어질 수 있습니다.
💡 쉬운 설명
시스템의 정보가 최신 상태로 업데이트되기 전에 보안 검사를 수행하여, 실제로는 허용되지 않아야 할 동작이 통과될 수 있는 문제입니다. 데이터가 동기화되는 짧은 틈을 이용해 보안 규칙을 피할 수 있습니다.
🇺🇸 원문 (English)
Styra Open Policy Agent (OPA) Gatekeeper through 3.7.0 mishandles concurrency, sometimes resulting in incorrect access control. The data replication mechanism allows policies to access the Kubernetes cluster state. During data replication, OPA/Gatekeeper does not wait for the replication to finish before processing a request, which might cause inconsistencies between the replicated resources in OPA/Gatekeeper and the resources actually present in the cluster. Inconsistency can later be reflected in a policy bypass. NOTE: the vendor disagrees that this is a vulnerability, because Kubernetes states are only eventually consistent
📍 영향받는 시스템
Styra Open Policy Agent (OPA) Gatekeeper version 3.7.0 and below
⚔️ 공격 벡터
데이터 복제와 요청 처리 사이의 시간차(Race Condition)를 이용한 정책 우회
🛡️ 대응 방법
Gatekeeper를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Gatekeeper의 버전이 3.7.0 이하인지 확인하십시오.
helm list -A | grep gatekeeper | awk '{print $1}' && helm list -A | grep gatekeeper | awk '{print $4}'