🇰🇷 한글 설명
Kubernetes 클러스터의 공급망 정책을 강제하는 PolicyController 0.2.1 미만 버전에서 발생하는 취약점입니다. 검증하려는 유형의 증명(attestation)이 없더라도 유효한 서명이 있는 다른 증명이 하나라도 존재하면 잘못된 승인을 허용하는 오탐(False Positive) 문제가 발생합니다.
💡 쉬운 설명
보안 검사를 통과해야 하는 소프트웨어가 실제로는 검사를 받지 않았음에도 불구하고, 다른 인증 정보가 있다는 이유로 통과되어 버리는 보안 구멍입니다. 이로 인해 검증되지 않은 이미지가 클러스터에 설치될 위험이 있습니다.
🇺🇸 원문 (English)
PolicyController is a utility used to enforce supply chain policy in Kubernetes clusters. In versions prior to 0.2.1 PolicyController will report a false positive, resulting in an admission when it should not be admitted when there is at least one attestation with a valid signature and there are NO attestations of the type being verified (--type defaults to "custom"). An example image that can be used to test this is `ghcr.io/distroless/static@sha256:dd7614b5a12bc4d617b223c588b4e0c833402b8f4991fb5702ea83afad1986e2`. Users should upgrade to version 0.2.1 to resolve this issue. There are no workarounds for users unable to upgrade.
📍 영향받는 시스템
PolicyController versions prior to 0.2.1
⚔️ 공격 벡터
검증되지 않은 이미지가 유효한 서명을 가진 다른 증명을 포함하고 있을 경우, 정책을 우회하여 클러스터에 배포됨
🛡️ 대응 방법
PolicyController를 0.2.1 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 PolicyController의 버전이 0.2.1 미만인지 확인하십시오.
helm list -A | grep policy-controller | awk '{print $4}'