🇰🇷 한글 설명
Red Hat Advanced Cluster Management(ACM)의 Application Subscription 컨트롤러에서 권한 상승 취약점이 발견되었습니다. 네임스페이스 수준의 'edit' 권한을 가진 사용자가 악의적인 Helm 차트를 통해 클러스터 전체 권한을 획득할 수 있습니다. 이는 컨트롤러가 구독 생성자의 권한을 검증하지 않고 클러스터 범위의 리소스를 적용하기 때문에 발생합니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 가짜 설치 파일을 만들어 시스템에 올리면, 시스템이 이를 관리자 권한으로 실행해버리는 문제입니다. 결과적으로 공격자가 전체 클러스터를 마음대로 조종할 수 있는 관리자 권한을 갖게 됩니다.
🇺🇸 원문 (English)
A flaw was found in the Application Subscription controller (multicluster-operators-subscription) of Red Hat Advanced Cluster Management for Kubernetes (ACM). A user with namespace-scoped "edit" privileges in an ACM hub namespace can create a Channel resource pointing to a Helm repository they control and a Subscription resource referencing it. The app-subscription controller fetches and applies the Helm chart contents with its own elevated authority, without verifying whether the subscription creator holds the "open-cluster-management:subscription-admin" role and without restricting applied resources to the subscription namespace. This allows the attacker to include cluster-scoped resources in the Helm chart, such as a ClusterRoleBinding granting the attacker's ServiceAccount the "cluster-admin" ClusterRole. Successful exploitation results in full cluster-admin privilege escalation. This contradicts the ACM documentation which states that non-subscription-admin users should have resources deployed into the subscription namespace only.
📍 영향받는 시스템
Red Hat Advanced Cluster Management (ACM) - multicluster-operators-subscription 컨트롤러 사용 환경
⚔️ 공격 벡터
악의적인 Helm 저장소를 가리키는 Channel 및 Subscription 리소스를 생성하여 클러스터 범위의 ClusterRoleBinding을 주입
🛡️ 대응 방법
ACM을 최신 보안 패치가 적용된 버전으로 업데이트하고, 구독 생성 권한에 대한 RBAC 설정을 강화하십시오.
🔧 검증 코드
해당 컨트롤러가 실행 중인지 확인하고, 사용자의 권한이 'open-cluster-management:subscription-admin'으로 제한되어 있는지 점검하십시오.
oc get subscription -A | grep multicluster-operators-subscription