🇰🇷 한글 설명
MinIO Operator STS에서 spec.audiences를 지정하지 않으면 기본값으로 Kubernetes apiserver가 사용되어 발급된 토큰이 다른 내부 시스템에 재사용될 수 있는 취약점입니다. 이는 토큰 스코핑 부재로 인한 인증 우회 위험을 초래합니다. 버전 7.1.0에서 패치되었습니다.
💡 쉬운 설명
MinIO의 보안 토큰이 특정 시스템에만 사용되도록 제한되지 않아서 다른 시스템에도 접근할 수 있는 보안 문제입니다. 권한이 없어야 할 사람이 의도하지 않게 시스템에 접근할 수 있다는 의미입니다.
🇺🇸 원문 (English)
MinIO Operator STS is a native IAM Authentication for Kubernetes. Prior to version 7.1.0, if no audiences are provided for the `spec.audiences` field, the default will be of the Kubernetes apiserver. Without scoping, it can be replayed to other internal systems, which may unintentionally trust it. This issue has been patched in version 7.1.0.
📍 영향받는 시스템
MinIO Operator STS 버전 7.1.0 미만
⚔️ 공격 벡터
기본 audience(Kubernetes apiserver)로 발급된 토큰을 다른 내부 시스템에 재사용하여 인증 우회
🛡️ 대응 방법
MinIO Operator STS를 7.1.0 이상으로 업그레이드하고 spec.audiences를 명시적으로 구성
🔧 검증 코드
표시되는 버전이 7.1.0 이상이면 안전하고 미만이면 즉시 업그레이드 필요
kubectl get deployment -n minio-operator minio-operator -o jsonpath='{.spec.template.spec.containers[0].image}' 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'