🇰🇷 한글 설명
Kubernetes ClusterCurator 컨트롤러의 Multicluster Engine에서 권한 상승 취약점이 발견되었습니다. 네임스페이스 권한을 가진 테넌트 관리자가 ClusterCurator를 생성함으로써 클러스터 전체 관리 권한을 가진 ServiceAccount 토큰을 생성할 수 있습니다. 이를 통해 공격자는 클러스터 전체에 대한 완전한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 관리자가 특정 설정을 조작하여 전체 시스템을 관리할 수 있는 '마스터 키'를 몰래 만들어낼 수 있는 보안 결함입니다. 이로 인해 개별 구역의 관리자가 전체 서버를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Multicluster Engine for Kubernetes ClusterCurator controller. A tenant administrator with namespace-scoped privileges can exploit this vulnerability by creating a namespaced ClusterCurator. This action inadvertently grants the tenant administrator the ability to mint a token for a ServiceAccount with cluster-wide administrative authority. This leads to a privilege escalation, allowing the tenant administrator to gain full control over the cluster.
📍 영향받는 시스템
Multicluster Engine for Kubernetes ClusterCurator controller
⚔️ 공격 벡터
네임스페이스 범위의 권한을 가진 사용자가 악의적인 ClusterCurator 리소스를 생성하여 클러스터 관리자 토큰을 탈취
🛡️ 대응 방법
ClusterCurator 컨트롤러를 최신 보안 패치가 적용된 버전으로 업데이트하고, 네임스페이스 수준의 권한 관리를 강화하십시오.
🔧 검증 코드
명령어 결과에서 일반 사용자가 clustercurator 리소스를 생성할 수 있는지 확인하고, 권한 상승이 가능한 설정이 있는지 검토하십시오.
kubectl get clustercurator -A && kubectl auth can-i create clustercurator --all-namespaces