🇰🇷 한글 설명
Capsule v0.10.3 이하에서 인증된 테넌트 사용자가 시스템 네임스페이스(kube-system, default, capsule-system)에 임의의 레이블을 주입할 수 있는 취약점입니다. 이를 통해 멀티테넌트 격리를 우회하고 다른 테넌트의 리소스에 접근하거나 권한을 상승시킬 수 있습니다. 0.10.4에서 수정되었습니다.
💡 쉬운 설명
Capsule의 네임스페이스 보안 체계에서 공격자가 특수 레이블을 삽입하여 다른 사용자의 데이터에 접근할 수 있습니다. 이는 Kubernetes 클러스터의 테넌트 격리 보안을 완전히 무너뜨릴 수 있는 치명적 결함입니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. A namespace label injection vulnerability in Capsule v0.10.3 and earlier allows authenticated tenant users to inject arbitrary labels into system namespaces (kube-system, default, capsule-system), bypassing multi-tenant isolation and potentially accessing cross-tenant resources through TenantResource selectors. This vulnerability enables privilege escalation and violates the fundamental security boundaries that Capsule is designed to enforce. This vulnerability is fixed in 0.10.4.
📍 영향받는 시스템
Capsule v0.10.3 이하 (Kubernetes multi-tenancy framework)
⚔️ 공격 벡터
인증된 테넌트 사용자가 API를 통해 시스템 네임스페이스에 임의의 레이블을 주입하여 멀티테넌시 격리 우회
🛡️ 대응 방법
Capsule을 0.10.4 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 0.10.4 미만이면 취약, 0.10.4 이상이면 패치됨. (예: 0.10.3 출력 = 취약, 0.10.4 출력 = 안전)
helm list -n capsule-system -o json 2>/dev/null | grep -o '"app_version":"[^"]*"' | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'