🇰🇷 한글 설명
Kubernetes용 기밀 컴퓨팅 런타임인 Contrast 1.19.1 미만 버전에서 Kata 에이전트 정책의 CopyFile 검증 결함이 발견되었습니다. 신뢰할 수 없는 호스트의 악성 프로세스가 VSOCK을 통해 Kata 에이전트에 연결하여 게스트 루트 파일 시스템에 임의의 파일을 쓸 수 있으며, 이는 게스트 시스템 전체 탈취로 이어질 수 있습니다.
💡 쉬운 설명
컴퓨터 내부의 보안 구역에 파일을 복사할 때 검사 과정이 허술하여, 외부 공격자가 몰래 중요한 파일을 바꿔치기할 수 있는 문제입니다. 이를 통해 공격자가 보안 구역의 제어권을 완전히 빼앗을 수 있습니다.
🇺🇸 원문 (English)
Contrast is a confidential-computing runtime for Kubernetes. In versions before 1.19.1, the Kata agent policies generated by the Contrast CLI contained a flaw in the CopyFile verification that allowed arbitrary writes to the guest root filesystem. A malicious process on the untrusted host able to connect to the Kata agent VSOCK could issue a series of CopyFile requests to overwrite security-critical files in the guest or trick the workload into disclosing sensitive data, effectively amounting to a full guest takeover. Users unable to upgrade can apply an equivalent rego policy fix passed to 'contrast generate --policy'.
📍 영향받는 시스템
Contrast versions before 1.19.1
⚔️ 공격 벡터
Untrusted host process connecting to Kata agent via VSOCK
🛡️ 대응 방법
Upgrade Contrast to version 1.19.1 or later, or apply a Rego policy fix using 'contrast generate --policy'
🔧 검증 코드
출력된 버전이 1.19.1 미만인 경우 취약한 상태이며, 1.19.1 이상이어야 안전합니다.
contrast --version 2>/dev/null | grep -E '1\[\.(19|20|\+)' || echo 'Version check failed'