🇰🇷 한글 설명
Cilium의 DNS 프록시 기능 사용 시, 외부에서 조작된 DNS 응답을 보내 Cilium 에이전트를 충돌시켜 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. DNS 기반 정책을 사용하는 워크로드의 경우 새로운 DNS 기반 연결이 중단될 수 있으며, 에이전트가 재시작될 때까지 설정 변경 사항이 적용되지 않을 수 있습니다.
💡 쉬운 설명
해커가 가짜 DNS 정보를 보내 네트워크 관리 프로그램인 Cilium을 강제로 종료시킬 수 있는 문제입니다. 이로 인해 네트워크 연결이 끊기거나 보안 설정이 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Cilium is a networking, observability, and security solution with an eBPF-based dataplane. A denial of service vulnerability affects versions 1.14.0 through 1.14.7, 1.15.0 through 1.15.11, and 1.16.0 through 1.16.4. In a Kubernetes cluster where Cilium is configured to proxy DNS traffic, an attacker can crash Cilium agents by sending a crafted DNS response to workloads from outside the cluster. For traffic that is allowed but without using DNS-based policy, the dataplane will continue to pass traffic as configured at the time of the DoS. For workloads that have DNS-based policy configured, existing connections may continue to operate, and new connections made without relying on DNS resolution may continue to be established, but new connections which rely on DNS resolution may be disrupted. Any configuration changes that affect the impacted agent may not be applied until the agent is able to restart. This issue is fixed in Cilium v1.14.18, v1.15.12, and v1.16.5. No known workarounds are available.
📍 영향받는 시스템
Cilium v1.14.0-1.14.7, v1.15.0-1.15.11, v1.16.0-1.16.4
⚔️ 공격 벡터
클러스터 외부에서 워크로드로 조작된 DNS 응답을 전송하여 에이전트 프로세스를 충돌시킴
🛡️ 대응 방법
Cilium을 v1.14.18, v1.15.12 또는 v1.16.5 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
cilium version | grep -E 'v1\.14\.(0|1[0-7])|v1\.15\.(0|1[0-2])|v1\.16\.[0-4]'