🇰🇷 한글 설명
Constellation의 CVM 이미지가 지속적 저장소를 위해 사용하는 cryptsetup 2.8.1에서 null 키슬롯 알고리즘을 안전하지 않게 처리하는 취약점입니다. LUKS2 형식 디스크가 cipher_null-ecb 알고리즘을 사용할 때 암호화 오류를 보고하지 않아, 실제로 암호화되지 않은 볼륨이 암호화된 것으로 간주됩니다.
💡 쉬운 설명
암호화되어 있다고 생각했던 저장소가 실제로는 암호화되지 않아 저장된 데이터가 노출될 수 있는 문제입니다. 공격자가 암호화되지 않은 저장소에 직접 접근하여 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Constellation is the first Confidential Kubernetes. The Constellation CVM image uses LUKS2-encrypted volumes for persistent storage. When opening an encrypted storage device, the CVM uses the libcryptsetup function crypt_activate_by_passhrase. If the VM is successful in opening the partition with the disk encryption key, it treats the volume as confidential. However, due to the unsafe handling of null keyslot algorithms in the cryptsetup 2.8.1, it is possible that the opened volume is not encrypted at all. Cryptsetup prior to version 2.8.1 does not report an error when processing LUKS2-formatted disks that use the cipher_null-ecb algorithm in the keyslot encryption field. This vulnerability is fixed in 2.24.0.
📍 영향받는 시스템
Constellation CVM, cryptsetup 2.8.1 및 이전 버전 (2.24.0에서 수정)
⚔️ 공격 벡터
LUKS2 볼륨을 cipher_null-ecb 알고리즘으로 설정하여 실제 암호화 없이 마운트한 후 저장된 데이터에 직접 접근
🛡️ 대응 방법
cryptsetup를 2.24.0 이상으로 업그레이드하고 기존 LUKS2 볼륨의 keyslot 설정 검증
🔧 검증 코드
PATCHED 출력이면 안전한 버전, VULNERABLE 출력이면 즉시 업그레이드 필요합니다.
cryptsetup --version 2>/dev/null | awk '{print $2}' | awk -F. '{if($1>2 || ($1==2 && $2>=24)) print "PATCHED"; else print "VULNERABLE"}'