🇰🇷 한글 설명
Kubernetes용 지속적 인도 솔루션인 Flux 0.35.0 미만 버전에서 서비스 거부(DoS) 취약점이 발견되었습니다. 권한을 가진 사용자가 .spec.interval 또는 .spec.timeout 필드에 잘못된 데이터를 입력하면 해당 객체 유형의 전체 처리가 중단될 수 있습니다.
💡 쉬운 설명
Flux 설정값에 잘못된 숫자를 입력하여 시스템이 작동을 멈추게 만드는 공격입니다. 이로 인해 자동화된 배포 프로세스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Flux is an open and extensible continuous delivery solution for Kubernetes. Versions prior to 0.35.0 are subject to a Denial of Service. Users that have permissions to change Flux’s objects, either through a Flux source or directly within a cluster, can provide invalid data to fields `.spec.interval` or `.spec.timeout` (and structured variations of these fields), causing the entire object type to stop being processed. This issue is patched in version 0.35.0. As a workaround, Admission controllers can be employed to restrict the values that can be used for fields `.spec.interval` and `.spec.timeout`, however upgrading to the latest versions is still the recommended mitigation.
📍 영향받는 시스템
Flux versions prior to 0.35.0
⚔️ 공격 벡터
Flux 객체 수정 권한을 가진 사용자가 특정 필드(.spec.interval, .spec.timeout)에 유효하지 않은 값을 입력
🛡️ 대응 방법
Flux를 0.35.0 이상의 최신 버전으로 업그레이드하거나 Admission Controller를 사용하여 입력값을 제한
🔧 검증 코드
명령어 결과에 0.35.0 미만의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
flux --version | grep -E '0\.(3[0-4]|2|[0-9])\\.'