🇰🇷 한글 설명
Strimzi 0.47.0 버전부터 0.49.1 미만 버전에서 특정 상황 발생 시 잘못된 Kubernetes Role이 생성되는 취약점이 발견되었습니다. 이로 인해 Apache Kafka Connect 및 MirrorMaker 2 운영자가 해당 네임스페이스 내의 모든 Kubernetes Secret에 대한 GET 권한을 갖게 됩니다. 이 문제는 Strimzi 0.49.1 버전에서 수정되었습니다.
💡 쉬운 설명
Strimzi라는 프로그램을 사용할 때 권한 설정이 너무 넓게 잡히는 문제가 있습니다. 이로 인해 해커가 시스템의 중요한 비밀번호나 인증 정보가 담긴 파일을 몰래 읽을 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Strimzi provides a way to run an Apache Kafka cluster on Kubernetes or OpenShift in various deployment configurations. From 0.47.0 and prior to 0.49.1, in some situations, Strimzi creates an incorrect Kubernetes Role which grants the Apache Kafka Connect and Apache Kafka MirrorMaker 2 operands the GET access to all Kubernetes Secrets that exist in the given Kubernetes namespace. The issue is fixed in Strimzi 0.49.1.
📍 영향받는 시스템
Strimzi 0.47.0 ~ 0.49.0 (0.49.1 미만 버전)
⚔️ 공격 벡터
권한이 과도하게 부여된 Kafka Connect 또는 MirrorMaker 2를 통해 네임스페이스 내의 모든 Secret 정보를 탈취
🛡️ 대응 방법
Strimzi를 0.49.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.47.0에서 0.49.0 사이의 버전이 포함되어 있다면 취약한 상태입니다.
kubectl get deployment -n <namespace> -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -E 'strimzi/operator:[0-4]\.[0-8]\.'