🇰🇷 한글 설명
Kyverno 정책 엔진의 GetNamespaceSelectorsFromNamespaceLister 함수에서 오류 전파가 누락되어, 네임스페이스 선택기를 사용하는 정책 규칙이 어드미션 검토 과정에서 적용되지 않을 수 있습니다. 이로 인해 보안에 중요한 변조 및 검증 작업이 우회될 수 있으며, 공격자가 Kubernetes API 접근 권한을 가질 경우 악의적인 작업을 수행할 위험이 있습니다.
💡 쉬운 설명
보안 규칙을 검사해야 하는 과정에서 특정 조건(네임스페이스 선택)을 확인하는 기능이 제대로 작동하지 않아 보안 검사를 건너뛰게 되는 문제입니다. 이를 통해 공격자가 보안 규칙을 피해 허가되지 않은 작업을 수행할 수 있습니다.
🇺🇸 원문 (English)
Kyverno is a policy engine designed for cloud native platform engineering teams. Prior to versions 1.13.5 and 1.14.0, it may happen that policy rules using namespace selector(s) in their match statements are mistakenly not applied during admission review request processing due to a missing error propagation in function `GetNamespaceSelectorsFromNamespaceLister` in `pkg/utils/engine/labels.go`. As a consequence, security-critical mutations and validations are bypassed, potentially allowing attackers with K8s API access to perform malicious operations. This issue has been patched in versions 1.13.5 and 1.14.0.
📍 영향받는 시스템
Kyverno versions prior to 1.13.5 and 1.14.0
⚔️ 공격 벡터
Kubernetes API 접근 권한을 가진 공격자가 정책 적용을 우회하여 보안 규칙을 무시하는 리소스를 생성하거나 수정함
🛡️ 대응 방법
Kyverno를 1.13.5 또는 1.14.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Kyverno 버전이 1.13.5 또는 1.14.0 이상인지 확인하여 패치 여부를 판단합니다.
kyverno version | grep -E 'Kyverno version: (1.13.5|1.14.0|[1-9][0-9]+\.[0-9]+\.[0-9]+)'