🇰🇷 한글 설명
OpenShift GitOps의 결함으로 네임스페이스 관리자가 ArgoCD 커스텀 리소스를 조작하여 다른 네임스페이스에서 권한을 상승시킬 수 있다. 공격자는 이를 통해 마스터 노드에서 특권 워크로드를 실행하여 전체 클러스터에 대한 루트 접근 권한을 획득할 수 있다.
💡 쉬운 설명
OpenShift 시스템에서 일반 관리자가 높은 권한 사용자만 할 수 있는 작업을 수행할 수 있는 방법이 존재한다. 이를 악용하면 전체 시스템을 완전히 제어할 수 있다.
🇺🇸 원문 (English)
A flaw was found in OpenShift GitOps. Namespace admins can create ArgoCD Custom Resources (CRs) that trick the system into granting them elevated permissions in other namespaces, including privileged namespaces. An authenticated attacker can then use these elevated permissions to create privileged workloads that run on master nodes, effectively giving them root access to the entire cluster.
📍 영향받는 시스템
OpenShift GitOps (ArgoCD) - 특정 버전 미지정, 모든 기존 버전 영향
⚔️ 공격 벡터
인증된 네임스페이스 관리자가 ArgoCD CR을 생성하여 RBAC 정책을 우회하고 cross-namespace 권한 상승
🛡️ 대응 방법
OpenShift GitOps 및 ArgoCD를 최신 보안 패치가 적용된 버전으로 즉시 업그레이드
🔧 검증 코드
ArgoCD CRD 설치 확인 및 현재 OpenShift 버전을 확인하여 취약 버전 여부 판단, 보안 공지사항과 비교
oc get crd | grep -i argo && oc version | grep -oP '(?<=Server Version: v).*'