🇰🇷 한글 설명
knative.dev/func는 Kubernetes 함수 개발 및 배포를 지원하는 클라이언트 라이브러리 및 CLI입니다. 악성 또는 침해된 타사 빌드팩을 사용하는 개발자는 악의적인 lifecycle 컨테이너에 레지스트리 자격 증명이나 로컬 Docker 소켓을 노출할 위험이 있습니다.
💡 쉬운 설명
검증되지 않은 외부 도구를 사용하여 프로그램을 만들 때, 그 도구에 숨겨진 악성 코드가 사용자의 중요한 비밀번호나 컴퓨터 제어권을 훔쳐갈 수 있는 문제입니다. 신뢰할 수 있는 도구만 사용하거나 버전을 고정하여 방어해야 합니다.
🇺🇸 원문 (English)
knative.dev/func is is a client library and CLI enabling the development and deployment of Kubernetes functions. Developers using a malicious or compromised third-party buildpack could expose their registry credentials or local docker socket to a malicious `lifecycle` container. This issues has been patched in PR #1442, and is part of release 1.8.1. This issue only affects users who are using function buildpacks from third-parties; pinning the builder image to a specific content-hash with a valid `lifecycle` image will also mitigate the attack.
📍 영향받는 시스템
knative.dev/func (1.8.1 미만 버전 및 신뢰할 수 없는 타사 빌드팩 사용 환경)
⚔️ 공격 벡터
악성 또는 침해된 타사 빌드팩을 통한 lifecycle 컨테이너의 자격 증명 및 Docker 소켓 탈취
🛡️ 대응 방법
knative.dev/func를 1.8.1 버전 이상으로 업데이트하거나, 빌더 이미지를 특정 콘텐츠 해시로 고정하여 사용하십시오.
🔧 검증 코드
명령어 실행 결과에 1.8.1 이상의 버전이 표시되면 패치가 적용된 상태입니다.
knative func version 2>/dev/null | grep -E '1.8.1'