🇰🇷 한글 설명
Cilium의 Gateway API 활성화 시 ReferenceGrant 생성 시 네임스페이스 검증이 누락되어 발생하는 취약점입니다. 공격자는 이를 통해 다른 네임스페이스의 비밀 정보(인증서 등)를 열람하거나 권한이 없는 서비스와 통신할 수 있습니다. Cilium 1.13.4 버전에서 수정되었습니다.
💡 쉬운 설명
네트워크 관리 도구인 Cilium에서 보안 검사 과정이 빠져 있어, 다른 구역에 숨겨진 비밀번호나 중요한 정보를 몰래 훔쳐볼 수 있는 문제입니다. 허가되지 않은 사용자가 다른 방의 열쇠를 가져가거나 다른 방의 서비스에 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Cilium is a networking, observability, and security solution with an eBPF-based dataplane. Prior to version 1.13.4, when Gateway API is enabled in Cilium, the absence of a check on the namespace in which a ReferenceGrant is created could result in Cilium unintentionally gaining visibility of secrets (including certificates) and services across namespaces. An attacker on an affected cluster can leverage this issue to use cluster secrets that should not be visible to them, or communicate with services that they should not have access to. Gateway API functionality is disabled by default. This vulnerability is fixed in Cilium release 1.13.4. As a workaround, restrict the creation of `ReferenceGrant` resources to admin users by using Kubernetes RBAC.
📍 영향받는 시스템
Cilium versions prior to 1.13.4 (with Gateway API enabled)
⚔️ 공격 벡터
권한이 있는 사용자가 ReferenceGrant 리소스를 생성하여 다른 네임스페이스의 비밀 정보나 서비스에 접근 시도
🛡️ 대응 방법
Cilium을 1.13.4 이상 버전으로 업데이트하거나, RBAC를 사용하여 ReferenceGrant 생성 권한을 관리자에게만 제한
🔧 검증 코드
명령어 결과에 v1.13.0부터 v1.13.3 사이의 버전이 나타나면 취약한 상태이며, 1.13.4 이상이어야 안전합니다.
cilium version | grep -E 'v1\.(13\.[0-3])'