🇰🇷 한글 설명
Metal³의 일부인 ironic-image에서 발생하는 취약점으로, Ironic이 TLS 없이 배포되고 API와 Conductor가 분리되지 않은 경우 API에 대한 인증 없이 접근이 가능합니다. Ironic API가 호스트 네트워크에서 리스닝 중이며 방화벽 뒤에 있지 않다면, 네트워크를 통해 누구나 인증 없이 API에 접근할 수 있습니다.
💡 쉬운 설명
서버 관리 도구의 보안 설정이 약할 경우, 외부인이 비밀번호 없이 관리 시스템에 접속할 수 있는 문제입니다. 특히 보안 연결(TLS)을 사용하지 않을 때 발생할 위험이 큽니다.
🇺🇸 원문 (English)
ironic-image is a container image to run OpenStack Ironic as part of Metal³. Prior to version capm3-v1.4.3, if Ironic is not deployed with TLS and it does not have API and Conductor split into separate services, access to the API is not protected by any authentication. Ironic API is also listening in host network. In case the node is not behind a firewall, the API could be accessed by anyone via network without authentication. By default, Ironic API in Metal3 is protected by TLS and basic authentication, so this vulnerability requires operator to configure API without TLS for it to be vulnerable. TLS and authentication however should not be coupled as they are in versions prior to capm3-v1.4.3. A patch exists in versions capm3-v1.4.3 and newer. Some workarounds are available. Either configure TLS for Ironic API (`deploy.sh -t ...`, `IRONIC_TLS_SETUP=true`) or split Ironic API and Conductor via configuration change (old implementation, not recommended). With both workarounds, services are configured with httpd front-end, which has proper authentication configuration in place.
📍 영향받는 시스템
ironic-image versions prior to capm3-v1.4.3
⚔️ 공격 벡터
TLS가 설정되지 않고 API/Conductor가 통합된 상태에서 네트워크를 통해 인증 없이 Ironic API에 직접 접근
🛡️ 대응 방법
ironic-image를 capm3-v1.4.3 이상 버전으로 업데이트하거나, Ironic API에 TLS를 적용하여 보안을 강화하십시오.
🔧 검증 코드
출력된 이미지의 태그가 capm3-v1.4.3보다 낮은 버전인지 확인하십시오.
docker images | grep ironic-image