🇰🇷 한글 설명
Kubernetes용 기밀 컴퓨팅 런타임인 Edgelesssys Contrast의 1.9.0 미만 1.12.2 버전에서 초기화 과정 중 워크로드 비밀 정보가 포함된 NewMeshCert 응답이 INFO 레벨 로그로 표준 출력에 노출됩니다. 이로 인해 pod/logs에 대한 조회 권한을 가진 Kubernetes 사용자가 워크로드 비밀을 탈취할 수 있으며, 암호화 저장소 및 Vault 통합 관련 보안도 위협받게 됩니다.
💡 쉬운 설명
프로그램이 실행될 때 중요한 비밀번호가 로그 파일에 그대로 기록되는 보안 결함이 발견되었습니다. 이 로그를 볼 수 있는 권한이 있는 사람은 시스템의 핵심 암호 정보를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Edgelesssys Contrast is a confidential-computing runtime for Kubernetes. In versions 1.9.0 before 1.12.2, the initializer logs the full NewMeshCert response — which contains the workload secret — to standard output at INFO level. As a result, workload secrets are exposed to any Kubernetes user with get or list permission on pods/logs. Because workload secrets are used for encrypted storage and Vault integration, those must also be considered compromised. This is a regression of GHSA-h5f8-crrq-4pw8.
📍 영향받는 시스템
Edgelesssys Contrast versions 1.9.0 up to before 1.12.2
⚔️ 공격 벡터
Kubernetes pod/logs에 대한 get 또는 list 권한을 이용한 로그 조회
🛡️ 대응 방법
Edgelesssys Contrast를 1.12.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 contrast 관련 버전이 1.12.2 미만인지 확인하십시오.
kubectl get pods -A -o jsonpath='{.items[*].metadata.labels}' | grep -E 'contrast-version'