🇰🇷 한글 설명
Flux2의 helm-controller가 사용하는 Helm SDK의 취약점으로 인해 특정 데이터 입력 시 과도한 메모리 소비가 발생할 수 있습니다. 이로 인해 컨트롤러가 중단(panic)될 수 있으며, 멀티테넌시 환경에서는 한 사용자가 다른 모든 사용자의 Helm 릴리스 처리를 방해하는 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
특정한 데이터를 입력하면 시스템의 메모리를 과도하게 사용하여 관리 프로그램이 멈춰버리는 문제입니다. 이로 인해 다른 사용자들이 정상적으로 서비스를 이용하지 못하게 방해받을 수 있습니다.
🇺🇸 원문 (English)
Flux2 is a tool for keeping Kubernetes clusters in sync with sources of configuration, and Flux's helm-controller is a Kubernetes operator that allows one to declaratively manage Helm chart releases. Helm controller is tightly integrated with the Helm SDK. A vulnerability found in the Helm SDK that affects flux2 v0.0.17 until v0.32.0 and helm-controller v0.0.4 until v0.23.0 allows for specific data inputs to cause high memory consumption. In some platforms, this could cause the controller to panic and stop processing reconciliations. In a shared cluster multi-tenancy environment, a tenant could create a HelmRelease that makes the controller panic, denying all other tenants from their Helm releases being reconciled. Patches are available in flux2 v0.32.0 and helm-controller v0.23.0.
📍 영향받는 시스템
Flux2 v0.0.17 ~ v0.32.0, helm-controller v0.0.4 ~ v0.23.0
⚔️ 공격 벡터
악의적인 데이터가 포함된 HelmRelease 리소스를 생성하여 컨트롤러의 메모리 고갈 및 패닉 유도
🛡️ 대응 방법
Flux2 v0.32.0 또는 helm-controller v0.23.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위(v0.32.0 미만 또는 v0.23.0 미만)에 해당하는지 확인합니다.
flux version | grep -E 'flux2|helm-controller'