🇰🇷 한글 설명
사용자가 컨트롤 플레인 네트워크의 보안 엔드포인트에 접근할 수 있는 취약점입니다. kube-apiserver의 검증 오류로 인해, 노드 객체를 수정할 수 있는 인증된 사용자가 노드 프록시 검증을 우회하여 API 서버의 프라이빗 네트워크로 요청을 보낼 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 보안 검사를 속여서 원래는 접근할 수 없는 내부 네트워크 영역까지 몰래 들어갈 수 있는 문제입니다. 이를 통해 시스템의 중요한 내부 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Users may have access to secure endpoints in the control plane network. Kubernetes clusters are only affected if an untrusted user can modify Node objects and send proxy requests to them. Kubernetes supports node proxying, which allows clients of kube-apiserver to access endpoints of a Kubelet to establish connections to Pods, retrieve container logs, and more. While Kubernetes already validates the proxying address for Nodes, a bug in kube-apiserver made it possible to bypass this validation. Bypassing this validation could allow authenticated requests destined for Nodes to to the API server's private network.
📍 영향받는 시스템
Kubernetes kube-apiserver (노드 객체 수정 권한을 가진 사용자가 존재하는 환경)
⚔️ 공격 벡터
인증된 사용자가 노드 객체를 조작하여 kube-apiserver의 프록시 검증 로직을 우회하고 내부 네트워크로 요청 전달
🛡️ 대응 방법
Kubernetes를 최신 보안 패치가 적용된 버전으로 업데이트하여 kube-apiserver의 프록시 주소 검증 로직 수정
🔧 검증 코드
출력된 Kubernetes 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인합니다.
kubectl version --short 2>/dev/null || kubectl version