🇰🇷 한글 설명
Kubernetes에서 namespace 삭제 중 객체 삭제 순서가 불명확하여, 악의적이거나 손상된 pod이 네트워크 정책 보호를 우회할 수 있는 취약점입니다. 네트워크 정책이 pod보다 먼저 삭제되면서 일시적으로 보호되지 않은 상태가 발생합니다.
💡 쉬운 설명
Kubernetes에서 보안 규칙이 잠깐 작동하지 않는 순간이 생겨서, 공격자가 이를 이용해 접근을 시도할 수 있는 문제입니다. namespace가 없어질 때 이런 일이 발생합니다.
🇺🇸 원문 (English)
A security issue was discovered in Kubernetes where a malicious or compromised pod could bypass network restrictions enforced by network policies during namespace deletion. The order in which objects are deleted during namespace termination is not defined, and it is possible for network policies to be deleted before the pods that they protect. This can lead to a brief period in which the pods are running, but network policies that should apply to connections to and from the pods are not enforced.
📍 영향받는 시스템
Kubernetes 1.28 이전 및 여러 마이너 버전 (공식 권고에 따라 확인 필요)
⚔️ 공격 벡터
악의적 pod이 namespace 삭제 중 일시적으로 제거된 네트워크 정책을 악용하여 제한된 트래픽 전송
🛡️ 대응 방법
Kubernetes를 최신 패치 버전으로 업그레이드하거나 RBAC와 Pod Security Standard를 강화하여 pod 생성 권한 제한
🔧 검증 코드
모든 namespace의 네트워크 정책 개수 확인. 0이면 정책 적용 확인 필요
kubectl get networkpolicies -A 2>/dev/null | tail -n +2 | wc -l