🇰🇷 한글 설명
Red Hat Advanced Cluster Security for Kubernetes(RHACS)에서 Kubernetes Deployment 처리 시 발생하는 결함입니다. 사용자가 openshift.io/encoded-deployment-config 레이블을 'null'로 설정하면 ACS가 워크로드의 메타데이터를 잘못 처리하여 정책 탐지 및 보안 가시성을 우회할 수 있습니다.
💡 쉬운 설명
보안 프로그램이 작업의 정체를 확인하는 과정에서 사용자가 속임수를 써서 정보를 숨길 수 있는 문제입니다. 이로 인해 보안 규칙을 어기는 동작을 해도 시스템이 이를 감지하지 못하고 놓칠 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Red Hat Advanced Cluster Security for Kubernetes (RHACS). When processing Kubernetes Deployments, ACS replaces deployment identity metadata based on the openshift.io/encoded-deployment-config label. A user with permission to create Deployments can set this label to "null", causing ACS to treat the workload as having empty UID, name and labels and namespace "default". This bypasses deploy-time policy detection and enforcement visibility, prevents correct persistence in Central and breaks violation reporting and compliance correlation for the affected deployment.
📍 영향받는 시스템
Red Hat Advanced Cluster Security for Kubernetes (RHACS)
⚔️ 공격 벡터
Deployment 생성 시 openshift.io/encoded-deployment-config 레이블을 'null'로 설정하여 메타데이터 조작
🛡️ 대응 방법
Red Hat에서 제공하는 최신 보안 패치를 적용하고, Deployment 생성 권한에 대한 RBAC 정책을 강화하십시오.
🔧 검증 코드
명령어 결과에 'null'이 포함되어 있다면 해당 레이블을 이용한 메타데이터 조작 공격에 취약할 수 있습니다.
kubectl get deployments -o jsonpath='{.items[*].metadata.labels.openshift\.io/encoded-deployment-config' | grep 'null'