🇰🇷 한글 설명
azure-file-csi-driver에서 드라이버 로그를 통해 서비스 계정 토큰이 노출될 수 있는 보안 취약점이 발견되었습니다. 공격자가 이 토큰을 획득하면 외부 클라우드 제공업체와 교환하여 클라우드 금고(Vault)에 저장된 비밀 정보를 탈취할 수 있습니다. 이 문제는 TokenRequests가 설정되어 있고 로그 레벨이 2 이상으로 설정된 경우에만 발생합니다.
💡 쉬운 설명
드라이버의 기록(로그)에 중요한 열쇠(토큰)가 남을 수 있는 문제입니다. 이 열쇠를 몰래 본 사람이 클라우드에 저장된 중요한 비밀번호나 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A security issue was discovered in azure-file-csi-driver where an actor with access to the driver logs could observe service account tokens. These tokens could then potentially be exchanged with external cloud providers to access secrets stored in cloud vault solutions. Tokens are only logged when TokenRequests is configured in the CSIDriver object and the driver is set to run at log level 2 or greater via the -v flag.
📍 영향받는 시스템
azure-file-csi-driver (TokenRequests 설정 및 로그 레벨 2 이상 사용 시)
⚔️ 공격 벡터
드라이버 로그에 기록된 서비스 계정 토큰을 탈취하여 클라우드 서비스 권한 획득
🛡️ 대응 방법
로그 레벨을 2 미만으로 낮추거나, CSIDriver 객체에서 TokenRequests 설정을 비활성화합니다.
🔧 검증 코드
명령어 결과가 'true'로 나오거나 로그 레벨이 2 이상으로 설정되어 있는지 확인합니다.
kubectl get csidriver azure-file-csi-driver -o jsonpath='{.spec.tokenRequest}'