🇰🇷 한글 설명
Cilium 에이전트 포드에 접근 권한이 있는 공격자가 hostPath 마운트를 악용하여 /opt/cni/bin 디렉토리에 파일을 쓸 수 있는 취약점입니다. 공격자가 CNI 바이너리를 악성 파일로 교체하고 새로운 포드가 생성되기를 기다리면 해당 노드의 권한을 탈취할 수 있습니다.
💡 쉬운 설명
Cilium이라는 네트워크 도구의 설정 실수로 인해, 공격자가 시스템의 핵심 실행 파일을 몰래 바꿔치기할 수 있습니다. 이를 통해 공격자는 관리자 권한을 얻어 서버 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
Cilium is a networking, observability, and security solution with an eBPF-based dataplane. Prior to versions 1.11.15, 1.12.8, and 1.13.1, an attacker with access to a Cilium agent pod can write to `/opt/cni/bin` due to a `hostPath` mount of that directory in the agent pod. By replacing the CNI binary with their own malicious binary and waiting for the creation of a new pod on the node, the attacker can gain access to the underlying node.
The issue has been fixed and the fix is available on versions 1.11.15, 1.12.8, and 1.13.1. Some workarounds are available. Kubernetes RBAC should be used to deny users and service accounts `exec` access to Cilium agent pods. In cases where a user requires `exec` access to Cilium agent pods, but should not have access to the underlying node, no workaround is possible.
📍 영향받는 시스템
Cilium versions prior to 1.11.15, 1.12.8, and 1.13.1
⚔️ 공격 벡터
Cilium 에이전트 포드에 exec 권한을 이용해 접근한 뒤, hostPath로 마운트된 /opt/cni/bin 내의 CNI 바이너리를 악성 파일로 교체
🛡️ 대응 방법
Cilium을 1.11.15, 1.12.8, 1.13.1 이상의 버전으로 업데이트하고, RBAC를 통해 에이전트 포드에 대한 exec 권한을 제한하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전(1.11.15, 1.12.8, 1.13.1 이상)이 포함되어 있는지 확인하십시오.
cilium version | grep -E '1.11.15|1.12.8|1.13.1'