🇰🇷 한글 설명
Kyverno v1.13.4 미만 버전에서 Service Call 기능을 통해 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 정책을 생성할 수 있는 권한이 있다면 외부 URL을 지정하여 클러스터 내의 비밀번호나 리소스 데이터와 같은 민감한 정보를 외부로 유출할 수 있습니다.
💡 쉬운 설명
해커가 클러스터 설정 권한을 이용해 가짜 명령을 내리면, 시스템이 중요한 비밀 정보를 해커의 서버로 몰래 보내게 만드는 취약점입니다. 이를 통해 클러스터 내부의 민감한 데이터가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Kyverno before v1.13.4 is vulnerable to server-side request forgery (SSRF) via its Service Call functionality. An attacker with permission to create Kyverno (Cluster)Policies can specify an external URL in a policy's apiCall/service configuration; although Service Call is documented for in-cluster services, it also resolves external addresses, allowing requests to an attacker-controlled server. Because policy context data (including contents of Kubernetes resources such as secrets) is sent in these requests, an attacker can exfiltrate sensitive cluster data.
📍 영향받는 시스템
Kyverno v1.13.4 미만 버전
⚔️ 공격 벡터
Kyverno 정책(Policy) 내 apiCall/service 설정에 공격자가 제어하는 외부 URL을 삽입하여 데이터 유출 유도
🛡️ 대응 방법
Kyverno를 v1.13.4 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 Kyverno 버전이 v1.13.4보다 낮은지 확인합니다.
kyverno version | grep -E 'Kyverno version'