🇰🇷 한글 설명
Omni Resource Service에서 발생하는 nil 포인터 역참조 취약점으로, 인증되지 않은 사용자가 빈 리소스 생성 또는 업데이트 요청을 보낼 수 있습니다. 이로 인해 서버 패닉이 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다. 해당 문제는 isSensitiveSpec 함수 내에서 메타데이터 필드의 nil 여부를 확인하지 않아 발생합니다.
💡 쉬운 설명
공격자가 비어 있는 데이터를 서버에 보내면 서버가 처리 과정에서 오류를 일으켜 멈춰버리는 문제입니다. 이로 인해 서비스가 중단되어 정상적인 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Omni manages Kubernetes on bare metal, virtual machines, or in a cloud. Prior to 1.1.5 and 1.0.2, there is a nil pointer dereference vulnerability in the Omni Resource Service allows unauthenticated users to cause a server panic and denial of service by sending empty create/update resource requests through the API endpoints. The vulnerability exists in the isSensitiveSpec function which calls grpcomni.CreateResource without checking if the resource's metadata field is nil. When a resource is created with an empty Metadata field, the CreateResource function attempts to access resource.Metadata.Version causing a segmentation fault. This vulnerability is fixed in 1.1.5 and 1.0.2.
📍 영향받는 시스템
Omni versions prior to 1.1.5 and 1.0.2
⚔️ 공격 벡터
API 엔드포인트를 통해 메타데이터 필드가 비어 있는 리소스 생성/업데이트 요청 전송
🛡️ 대응 방법
Omni를 버전 1.1.5 또는 1.0.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 1.1.5 또는 1.0.2 이상의 버전이 출력되면 취약점이 해결된 상태입니다.
omni --version 2>/dev/null | grep -E '1.1.5|1.0.2'