🇰🇷 한글 설명
Project Gardener의 클라우드 프로바이더 확장 프로그램(AWS, Azure, OpenStack, GCP)에서 코드 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 사용자가 악의적인 코드를 주입하여 Kubernetes 클러스터를 관리하는 seed 클러스터에 대한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
클라우드에서 Kubernetes를 자동 관리해주는 Gardener 시스템에서 관리자가 해킹당하면 전체 클러스터가 탈취될 수 있습니다. 빨리 업데이트하지 않으면 모든 관리되는 클러스터가 위험합니다.
🇺🇸 원문 (English)
Project Gardener implements the automated management and operation of Kubernetes clusters as a service. Code injection may be possible in Gardener Extensions for AWS providers prior to version 1.64.0, Azure providers prior to version 1.55.0, OpenStack providers prior to version 1.49.0, and GCP providers prior to version 1.46.0. This vulnerability could allow a user with administrative privileges for a Gardener project to obtain control over the seed cluster where the shoot cluster is managed. This affects all Gardener installations where Terraformer is used/can be enabled for infrastructure provisioning with any of the affected components. This issue has been patched in Gardener Extensions for AWS providers version 1.64.0, Azure providers version 1.55.0, OpenStack providers version 1.49.0, and GCP providers version 1.46.0.
📍 영향받는 시스템
Gardener Extensions AWS <1.64.0, Azure <1.55.0, OpenStack <1.49.0, GCP <1.46.0
⚔️ 공격 벡터
Gardener 프로젝트에 대한 관리자 권한을 보유한 사용자가 Terraformer 인프라 프로비저닝 중 악성 코드를 주입
🛡️ 대응 방법
AWS는 1.64.0 이상, Azure는 1.55.0 이상, OpenStack은 1.49.0 이상, GCP는 1.46.0 이상으로 업그레이드
🔧 검증 코드
각 클라우드 프로바이더별 확장 프로그램의 배포된 이미지 버전을 확인하여 위 버전 이상으로 업데이트되었는지 검증
helm list -n gardener-extension-provider-aws | grep -E 'provider-aws' && kubectl get deployment -n gardener-extension-provider-aws -o jsonpath='{.items[*].spec.template.spec.containers[*].image}'