🇰🇷 한글 설명
kcp의 APIExport VirtualWorkspace를 통해 권한 검증을 우회하여 임의의 workspace에서 객체를 생성/삭제할 수 있는 취약점입니다. APIBinding이 없거나 거부된 경우에도 접근 제어를 무시하고 리소스를 조작할 수 있습니다.
💡 쉬운 설명
kcp 시스템이 작업 공간의 접근 권한을 제대로 확인하지 않아서, 권한이 없는 사용자도 마치 권한이 있는 것처럼 데이터를 만들거나 삭제할 수 있습니다. 이는 권한 관리 시스템 전체를 무시하는 심각한 보안 문제입니다.
🇺🇸 원문 (English)
kcp is a Kubernetes-like control plane for form-factors and use-cases beyond Kubernetes and container workloads. Prior to 0.26.3, the identified vulnerability allows creating or deleting an object via the APIExport VirtualWorkspace in any arbitrary target workspace for pre-existing resources. By design, this should only be allowed when the workspace owner decides to give access to an API provider by creating an APIBinding. With this vulnerability, it is possible for an attacker to create and delete objects even if none of these requirements are satisfied, i.e. even if there is no APIBinding in that workspace at all or the workspace owner has created an APIBinding, but rejected a permission claim. A fix for this issue has been identified and has been published with kcp 0.26.3 and 0.27.0.
📍 영향받는 시스템
kcp 0.26.3 미만 버전 (0.27.0 미만 포함)
⚔️ 공격 벡터
APIExport VirtualWorkspace를 악용하여 APIBinding 없이 또는 거부된 권한으로도 임의 workspace의 객체 생성/삭제
🛡️ 대응 방법
kcp를 0.26.3 또는 0.27.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 0.26.3 이상 또는 0.27.0 이상이면 패치됨. 그 이하면 취약.
kcp --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'