🇰🇷 한글 설명
OpenEBS Local PV RawFile의 /var/csi/rawfile/ 디렉토리가 world-readable 권한으로 설정되어 있어, 비특권 사용자도 persistent volume 데이터에 접근 가능합니다. Kubernetes에서 실행되는 MySQL, PostgreSQL 등 데이터베이스 정보 전체가 유출될 수 있습니다. 버전 0.10.0에서 패치됨.
💡 쉬운 설명
쿠버네티스 저장소 폴더의 권한이 너무 열려있어서 일반 사용자도 중요한 데이터를 볼 수 있습니다. 데이터베이스 정보가 모두 노출될 위험이 있습니다.
🇺🇸 원문 (English)
OpenEBS Local PV RawFile allows dynamic deployment of Stateful Persistent Node-Local Volumes & Filesystems for Kubernetes. Prior to version 0.10.0, persistent volume data is world readable and that would allow non-privileged users to access sensitive data such as databases of k8s workload. The rawfile-localpv storage class creates persistent volume data under /var/csi/rawfile/ on Kubernetes hosts by default. However, the directory and data in it are world-readable. It allows non-privileged users to access the whole persistent volume data, and those can include sensitive information such as a whole database if the Kubernetes tenants are running MySQL or PostgreSQL in a container so it could lead to a database breach. This issue has been patched in version 0.10.0.
📍 영향받는 시스템
OpenEBS Local PV RawFile < 0.10.0
⚔️ 공격 벡터
로컬 시스템 접근으로 /var/csi/rawfile/ 디렉토리 직접 읽기
🛡️ 대응 방법
OpenEBS를 0.10.0 이상으로 업그레이드하고 /var/csi/rawfile/ 디렉토리의 권한을 제한
🔧 검증 코드
출력된 권한이 'rwxrwxrwx' 또는 'rwxrwx---' 형태면 취약, 'rwx------' 또는 'rwxr-x---' 형태면 안전
ls -ld /var/csi/rawfile/ 2>/dev/null | grep -oE '^d[^\s]+' | tail -c 10