🇰🇷 한글 설명
Kubernetes용 기밀 컴퓨팅 런타임인 Contrast 1.4.1 미만 버전에서 발생하는 취약점입니다. 복구 중인 Coordinator가 공급된 시드(seed)를 검증하지 않아, 공격자가 조작된 시드를 가진 가짜 Coordinator를 세울 수 있습니다. 이를 통해 공격자는 워크로드 소유자를 사칭하고 이후 배포되는 워크로드의 임의의 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
공격자가 진짜 관리자 서버인 척 속이는 가짜 서버를 만들어 사용자를 유인할 수 있는 보안 결함입니다. 사용자가 가짜 서버의 인증서를 확인하지 않고 연결하면, 공격자가 사용자의 중요한 비밀번호나 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Contrast is a confidential-computing runtime for Kubernetes. In versions before 1.4.1, a recovering Coordinator does not verify the seed supplied by the recovering party. An attacker can therefore stand up a rogue Coordinator whose manifest passes validation but whose secret seed is attacker-controlled. If network traffic is redirected from the legitimate Coordinator to the attacker's Coordinator, a workload owner can be impersonated when they either set a new manifest without comparing the returned root CA certificate against the existing one (the default behavior of the contrast CLI) or verify the Coordinator without comparing the root CA certificate against a trusted reference. Under these conditions the attacker can issue certificates that chain back to the rogue Coordinator's root CA and recover arbitrary workload secrets of workloads deployed after the attack. Secrets of the legitimate Coordinator (seed, workload secrets, CA), workload integrity, and certificates chaining to the mesh CA are not affected.
📍 영향받는 시스템
Contrast runtime versions prior to 1.4.1
⚔️ 공격 벡터
네트워크 트래픽을 가짜 Coordinator로 리다이렉션한 후, 검증되지 않은 루트 CA 인증서를 사용하여 워크로드 비밀 정보를 탈취
🛡️ 대응 방법
Contrast를 1.4.1 이상의 최신 버전으로 업데이트하고, CLI 사용 시 반환된 루트 CA 인증서를 기존 인증서와 반드시 비교 검증해야 함
🔧 검증 코드
출력된 버전이 1.4.1 미만(예: 1.4.0 등)이면 취약한 상태이며, 1.4.1 이상이거나 해당 명령어가 실행되지 않으면 안전합니다.
contrast --version 2>/dev/null | grep -E '(?<![0-9])1(?!
?
|[0-9])' || echo 'Version is safe or not installed'