🇰🇷 한글 설명
Kubernetes REST API용 Ruby 클라이언트인 kubeclient의 v4.9.3 미만 모든 버전에서 kubeconfig 파일 파싱 방식에 결함이 발견되었습니다. kubeconfig에 사용자 정의 CA 설정이 없는 경우, kubeclient가 모든 인증서를 허용(VERIFY_NONE 반환)하는 문제가 있습니다. 이로 인해 kubeclient를 사용하는 Ruby 애플리케이션은 중간자 공격(MITM)에 취약할 수 있습니다.
💡 쉬운 설명
Kubernetes를 조작하는 도구가 보안 인증서를 제대로 확인하지 못하는 결함이 발견되었습니다. 이로 인해 해커가 중간에서 통신 내용을 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in all versions of kubeclient up to (but not including) v4.9.3, the Ruby client for Kubernetes REST API, in the way it parsed kubeconfig files. When the kubeconfig file does not configure custom CA to verify certs, kubeclient ends up accepting any certificate (it wrongly returns VERIFY_NONE). Ruby applications that leverage kubeclient to parse kubeconfig files are susceptible to Man-in-the-middle attacks (MITM).
📍 영향받는 시스템
kubeclient v4.9.3 미만 모든 버전
⚔️ 공격 벡터
인증서 검증이 생략되는 점을 악용한 중간자 공격(Man-in-the-middle attack)
🛡️ 대응 방법
kubeclient 라이브러리를 v4.9.3 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 kubeclient의 버전이 4.9.3 미만인지 확인하십시오.