🇰🇷 한글 설명
SUSE Rancher의 부적절한 권한 관리 취약점으로 인해 Azure AD의 권한 변경 사항이 로그인 중인 사용자에게 즉시 반영되지 않습니다. 이로 인해 사용자가 Azure AD에서 그룹이 변경되거나 제거되더라도 Rancher UI에 로그인되어 있는 동안에는 이전의 높은 권한을 그대로 유지할 수 있습니다.
💡 쉬운 설명
회사 계정에서 권한을 뺏거나 직급을 낮춰도, 이미 Rancher에 로그인해 있는 사람은 권한이 그대로 유지되는 문제입니다. 즉, 퇴사자나 권한이 없어진 사람이 로그아웃 전까지는 계속 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
A Improper Privilege Management vulnerability in SUSE Rancher causes permission changes in Azure AD not to be reflected to users
while they are logged in the Rancher UI. This would cause the users to
retain their previous permissions in Rancher, even if they change groups
on Azure AD, for example, to a lower privileged group, or are removed
from a group, thus retaining their access to Rancher instead of losing
it.
This issue affects Rancher: from >= 2.6.7 before < 2.6.13, from >= 2.7.0 before < 2.7.4.
📍 영향받는 시스템
Rancher >= 2.6.7 < 2.6.13, >= 2.7.0 < 2.7.4
⚔️ 공격 벡터
권한이 변경된 사용자가 로그아웃하지 않고 세션을 유지하여 이전 권한을 악용
🛡️ 대응 방법
취약점이 해결된 최신 버전(2.6.13 이상 또는 2.7.4 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 업데이트가 필요한 상태입니다.
curl -s http://<rancher-url>/v3/settings | grep -E '"version": "(2\.[67]\.(?!13|4))"'