🇰🇷 한글 설명
source-controller v1.2.5 이전에서 Azure Blob Storage 연결 오류 발생 시 Azure SAS 토큰이 로그에 평문으로 기록되는 취약점입니다. 로그에 접근 가능한 공격자가 토큰을 탈취하여 토큰 만료 시까지 Azure Blob Storage에 무단 접근할 수 있습니다.
💡 쉬운 설명
Kubernetes의 GitOps 도구인 source-controller가 Azure와 연결할 때 사용하는 보안 토큰이 에러 메시지에 그대로 남겨집니다. 이 로그를 본 악의적인 사용자가 토큰을 이용해 Azure 저장소에 접근할 수 있습니다.
🇺🇸 원문 (English)
The source-controller is a Kubernetes operator, specialised in artifacts acquisition from external sources such as Git, OCI, Helm repositories and S3-compatible buckets. The source-controller implements the source.toolkit.fluxcd.io API and is a core component of the GitOps toolkit. Prior to version 1.2.5, when source-controller was configured to use an Azure SAS token when connecting to Azure Blob Storage, the token was logged along with the Azure URL when the controller encountered a connection error. An attacker with access to the source-controller logs could use the token to gain access to the Azure Blob Storage until the token expires. This vulnerability was fixed in source-controller v1.2.5. There is no workaround for this vulnerability except for using a different auth mechanism such as Azure Workload Identity.
📍 영향받는 시스템
Flux source-controller < 1.2.5 (Azure Blob Storage 사용 구성)
⚔️ 공격 벡터
source-controller 로그에 접근 가능한 내부 공격자가 노출된 Azure SAS 토큰을 추출하여 Azure Blob Storage에 직접 접근
🛡️ 대응 방법
source-controller를 v1.2.5 이상으로 업그레이드하거나 Azure Workload Identity 등 다른 인증 방식으로 변경
🔧 검증 코드
출력된 버전이 v1.2.5 이상이면 안전, 그 이하면 업그레이드 필요
kubectl get deployment source-controller -n flux-system -o jsonpath='{.spec.template.spec.containers[0].image}' | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+'