🇰🇷 한글 설명
maclof kubernetes-client 0.17.0 미만 0.32.0 버전에서 kubeconfig에 certificate-authority-data가 없을 경우 TLS 인증서 검증을 비활성화하는 취약점이 발견되었습니다. 이로 인해 insecure-skip-tls-verify 설정이 무시되며, 중간자 공격자가 Kubernetes API 서버를 사칭하여 인증 토큰을 탈취하거나 트래픽을 조작할 수 있습니다.
💡 쉬운 설명
인증서 확인 절차를 건너뛰는 보안 결함으로 인해, 해커가 가짜 서버를 만들어 사용자의 로그인 정보를 훔칠 수 있습니다. 통신 내용이 중간에 가로채지거나 변조될 위험이 있습니다.
🇺🇸 원문 (English)
maclof kubernetes-client 0.17.0 before 0.32.0 disables TLS certificate verification in parseKubeconfig() and parseKubeconfigFile() when a kubeconfig lacks certificate-authority-data, ignoring insecure-skip-tls-verify. On-path attackers can impersonate the Kubernetes API server to capture Bearer tokens or Basic credentials and tamper with WebSocket or REST API traffic.
📍 영향받는 시스템
maclof kubernetes-client 0.17.0 ~ 0.32.0 미만 버전
⚔️ 공격 벡터
네트워크 중간자 공격(On-path attack)을 통한 API 서버 사칭 및 인증 정보 탈취
🛡️ 대응 방법
kubernetes-client 라이브러리를 0.32.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 0.17.0 이상 0.32.0 미만인지 확인하십시오.
npm list maclof/kubernetes-client || go list -m all | grep kubernetes-client