🔍 CVE-2025-0426

6.2
CVSS Score
MEDIUM
2025-02-13
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

Kubernetes의 인증되지 않은 kubelet 읽기 전용 HTTP 엔드포인트에 대량의 컨테이너 체크포인트 요청을 보내 노드의 디스크를 채워서 서비스 거부 공격을 유발할 수 있는 보안 취약점이다. 악의적 행위자가 노드의 가용 디스크 공간을 소진시켜 클러스터 전체의 가용성을 저해할 수 있다.

💡 쉬운 설명

Kubernetes 시스템에서 누구나 접근 가능한 특정 기능에 반복적으로 요청을 보내면 서버의 저장 공간이 가득 차 작동 불능 상태가 된다. 이를 통해 공격자가 원격에서 컴퓨터를 마비시킬 수 있다.

🇺🇸 원문 (English)

A security issue was discovered in Kubernetes where a large number of container checkpoint requests made to the unauthenticated kubelet read-only HTTP endpoint may cause a Node Denial of Service by filling the Node's disk.

📍 영향받는 시스템

Kubernetes 1.28 이전 버전의 kubelet 컴포넌트를 사용하는 모든 노드

⚔️ 공격 벡터

인증 없이 kubelet의 read-only HTTP 엔드포인트(/checkpoint)에 대량의 container checkpoint 요청을 전송하여 노드 디스크 소진

🛡️ 대응 방법

Kubernetes 최신 버전으로 업그레이드하고, kubelet의 read-only 포트(10255)를 비활성화하거나 네트워크 제한을 적용하며, RBAC 정책을 강화할 것

🔧 검증 코드

kubelet의 read-only 포트(10255) 접근 가능 여부와 현재 Kubernetes 버전을 확인하여 취약점 영향 범위를 판단할 수 있다.

Shell / Script 
curl -s http://localhost:10255/checkpoint 2>&1 | head -1; kubelet --version 2>/dev/null || kubectl version --client 2>/dev/null | grep -oP 'GitVersion:"\Kv[^"]+' || echo 'kubelet not found'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

💻 영향받는 소프트웨어

Kubernetes