🇰🇷 한글 설명
Kubernetes용 지속적 인도 솔루션인 Flux의 kustomize-controller에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 악의적인 kustomization.yaml 파일을 통해 컨트롤러 포드의 파일 시스템에 접근하여 민감한 데이터를 노출시키거나 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
설정 파일에 특수한 명령을 숨겨 넣어 시스템의 허가되지 않은 파일들을 몰래 훔쳐볼 수 있는 보안 약점입니다. 이를 통해 중요한 정보를 빼내거나 관리자 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Flux is an open and extensible continuous delivery solution for Kubernetes. Path Traversal in the kustomize-controller via a malicious `kustomization.yaml` allows an attacker to expose sensitive data from the controller’s pod filesystem and possibly privilege escalation in multi-tenancy deployments. Workarounds include automated tooling in the user's CI/CD pipeline to validate `kustomization.yaml` files conform with specific policies. This vulnerability is fixed in kustomize-controller v0.24.0 and included in flux2 v0.29.0.
📍 영향받는 시스템
kustomize-controller v0.24.0 미만 버전 및 flux2 v0.29.0 미만 버전
⚔️ 공격 벡터
악의적으로 조작된 kustomization.yaml 파일을 통한 경로 탐색 공격
🛡️ 대응 방법
kustomize-controller v0.24.0 또는 flux2 v0.29.0 이상 버전으로 업데이트
🔧 검증 코드
명령어 실행 결과에 v0.29.0 이상의 flux2 또는 v0.24.0 이상의 kustomize-controller 버전이 포함되어 있는지 확인합니다.
flux --version | grep -E 'flux2 v0.29.0|kustomize-controller v0.24.0'