🇰🇷 한글 설명
Argo Events 프레임워크에서 EventSource와 Sensor 커스텀 리소스를 생성/수정할 권한이 있는 사용자가 관리자 권한 없이도 클러스터 호스트에 대한 특권 접근을 획득할 수 있습니다. spec.template.container를 통해 command, args, securityContext, volumeMount를 지정하여 pod을 조작하면, 호스트 시스템에 대한 특권 접근이 가능해집니다.
💡 쉬운 설명
Argo Events에서 작업 설정을 만들거나 수정할 수 있는 일반 사용자가, 관리자가 아님에도 전체 서버 제어 권한을 얻을 수 있습니다. 작업 설정에서 컨테이너 명령어와 보안 설정을 조작하여 이를 실현합니다.
🇺🇸 원문 (English)
Argo Events is an event-driven workflow automation framework for Kubernetes. A user with permission to create/modify EventSource and Sensor custom resources can gain privileged access to the host system and cluster, even without having direct administrative privileges. The EventSource and Sensor CRs allow the corresponding orchestrated pod to be customized with spec.template and spec.template.container (with type k8s.io/api/core/v1.Container), thus, any specification under container such as command, args, securityContext , volumeMount can be specified, and applied to the EventSource or Sensor pod. With these, a user would be able to gain privileged access to the cluster host, if he/she specified the EventSource/Sensor CR with some particular properties under template. This vulnerability is fixed in v1.9.6.
📍 영향받는 시스템
Argo Events v1.9.6 미만 모든 버전 (Kubernetes)
⚔️ 공격 벡터
EventSource/Sensor CR의 spec.template.container에서 privileged securityContext와 volumeMount를 지정하여 호스트 파일 시스템 접근
🛡️ 대응 방법
Argo Events를 v1.9.6 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 1.9.6 미만이면 취약함, 1.9.6 이상이면 안전
kubectl get deployment -n argoevents-system argo-events-controller-manager -o jsonpath='{.spec.template.spec.containers[0].image}' 2>/dev/null | grep -oP 'argo-events:\K[0-9.]+'