🇰🇷 한글 설명
Observability Operator에서 Namespace-scoped Custom Resource 배포 시 ServiceAccount에 ClusterRole을 부여하는 결함으로, 네임스페이스 권한만 가진 사용자가 MonitorStack을 생성한 후 해당 ServiceAccount를 가장하여 클러스터 레벨 권한으로 상승할 수 있습니다. 이는 권한 상승 및 기타 보안 문제를 초래합니다.
💡 쉬운 설명
Kubernetes의 Observability Operator가 제한된 권한을 가진 사용자도 전체 클러스터를 제어할 수 있는 권한으로 상승시킬 수 있는 보안 결함입니다. 네임스페이스 관리자 수준의 권한만으로도 클러스터 관리자 권한을 얻을 수 있게 됩니다.
🇺🇸 원문 (English)
A flaw was found in the Observability Operator. The Operator creates a ServiceAccount with *ClusterRole* upon deployment of the *Namespace-Scoped* Custom Resource MonitorStack. This issue allows an adversarial Kubernetes Account with only namespaced-level roles, for example, a tenant controlling a namespace, to create a MonitorStack in the authorized namespace and then elevate permission to the cluster level by impersonating the ServiceAccount created by the Operator, resulting in privilege escalation and other issues.
📍 영향받는 시스템
Red Hat Observability Operator (모든 영향받는 버전)
⚔️ 공격 벡터
네임스페이스 권한을 가진 Kubernetes 사용자가 MonitorStack Custom Resource를 생성하고 Operator가 생성한 ServiceAccount를 가장(impersonate)하여 클러스터 레벨 권한 상승
🛡️ 대응 방법
Observability Operator의 ServiceAccount에 ClusterRole 대신 적절한 RBAC 정책을 적용하여 필요한 최소 권한만 부여
🔧 검증 코드
위 명령어 결과에서 observability-operator의 ClusterRole이 존재하면 취약점이 적용될 가능성이 있으며, rules 섹션의 권한 범위를 확인하여 과도한 권한 부여 여부를 판단합니다.
kubectl get clusterrole -o jsonpath='{.items[?(@.metadata.name=="observability-operator")]}' 2>/dev/null | grep -E 'rules|observability'