🇰🇷 한글 설명
Istio 1.12.0 및 1.12.1 버전에서 Kubernetes Gateway API를 사용하는 경우 권한 상승 취약점이 존재합니다. 특정 객체에 대한 생성 권한을 가진 사용자가 Pod와 같이 권한이 없는 다른 리소스를 생성하여 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 원래는 할 수 없는 다른 중요한 작업까지 수행할 수 있게 되는 보안 결함입니다. Istio의 특정 기능을 사용할 때 발생하며, 시스템 전체의 제어권을 뺏길 위험이 있습니다.
🇺🇸 원문 (English)
Istio is an open platform to connect, manage, and secure microservices. In versions 1.12.0 and 1.12.1 Istio is vulnerable to a privilege escalation attack. Users who have `CREATE` permission for `gateways.gateway.networking.k8s.io` objects can escalate this privilege to create other resources that they may not have access to, such as `Pod`. This vulnerability impacts only an Alpha level feature, the Kubernetes Gateway API. This is not the same as the Istio Gateway type (gateways.networking.istio.io), which is not vulnerable. Users are advised to upgrade to resolve this issue. Users unable to upgrade should implement any of the following which will prevent this vulnerability: Remove the gateways.gateway.networking.k8s.io CustomResourceDefinition, set PILOT_ENABLE_GATEWAY_API_DEPLOYMENT_CONTROLLER=true environment variable in Istiod, or remove CREATE permissions for gateways.gateway.networking.k8s.io objects from untrusted users.
📍 영향받는 시스템
Istio versions 1.12.0 and 1.12.1 (Kubernetes Gateway API feature)
⚔️ 공격 벡터
gateways.gateway.networking.k8s.io 객체에 대한 CREATE 권한을 악용하여 Pod 등 다른 리소스 생성
🛡️ 대응 방법
Istio를 최신 버전으로 업그레이드하거나, 해당 CRD를 삭제하거나, Istiod 환경 변수를 설정하거나, 관련 권한을 제거하십시오.
🔧 검증 코드
명령어 결과에 istio version 1.12.0 또는 1.12.1이 포함되어 있으면 취약한 버전입니다.
istioctl version | grep -E 'istio version: 1\.12\.[01]'