🇰🇷 한글 설명
Kubernetes 정책 엔진인 Kyverno의 1.14.0부터 1.19.0 버전에서 ImageValidatingPolicy 평가기가 PolicyException의 특정 필드를 무시하는 취약점이 발견되었습니다. 이로 인해 특정 이미지에 대해서만 예외를 적용하려 해도 해당 리소스 전체의 이미지 서명 검증이 건너뛰어지는 문제가 발생합니다. 결과적으로 서명되지 않았거나 신뢰할 수 없는 이미지가 클러스터에 허용될 수 있습니다.
💡 쉬운 설명
특정 이미지 하나만 검사를 건너뛰도록 설정했는데, 실제로는 그 리소스에 포함된 모든 이미지가 검사 없이 통과되는 보안 구멍이 생겼습니다. 이로 인해 해커가 만든 가짜 이미지가 보안 검사를 피해 클러스터에 설치될 위험이 있습니다.
🇺🇸 원문 (English)
Kyverno is a policy engine for Kubernetes. In versions 1.14.0 through 1.19.0, the ImageValidatingPolicy (policies.kyverno.io/v1beta1) evaluator never reads the spec.images and spec.allowedValues fields of a PolicyException. Any PolicyException whose policyRefs and matchConditions match a resource causes image signature verification to be skipped for the entire resource rather than only for the listed images or values, so an exception intended to exempt a single trusted image exempts every image on the matched resource(s). As a result, unsigned or untrusted images can be admitted to the cluster without signature verification. This differs from ValidatingPolicy, GeneratingPolicy, and MutatingPolicy, which treat the same field as a partial exemption. The issue is fixed in version 1.19.1.
📍 영향받는 시스템
Kyverno versions 1.14.0 through 1.19.0
⚔️ 공격 벡터
신뢰할 수 없는 이미지를 포함한 리소스를 생성하여 이미지 서명 검증을 우회함으로써 클러스터에 악성 이미지를 배포함
🛡️ 대응 방법
Kyverno를 버전 1.19.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Kyverno 버전이 1.14.0 미만이거나 1.19.1 이상인지 확인하십시오.
kyverno version | grep -E 'Kyverno version'