🇰🇷 한글 설명
Console 커스텀 리소스 생성 권한을 가진 Kubernetes 테넌트가 임의의 컨테이너 이미지를 설정할 수 있는 취약점입니다. 공격자는 이를 통해 권한이 높은 ServiceAccount를 사용하는 포드를 배포하여, Strimzi CRD 및 Kafka 설정에 대한 클러스터 전역 읽기 및 쓰기 권한을 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 허용되지 않은 프로그램을 실행하여 시스템의 관리자 권한을 훔칠 수 있는 보안 구멍입니다. 이를 통해 공격자는 클러스터 전체의 데이터와 설정에 접근하여 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
A Kubernetes tenant with create permission on Console custom resources can set spec.containers.api.spec.image to an arbitrary container image. The operator deploys this image into a pod whose ServiceAccount is bound via ClusterRoleBinding to a ClusterRole granting cluster-wide get/list/watch on all Strimzi CRDs (including KafkaUsers), patch on Kafkas/KafkaRebalances, and cluster-monitoring-view. The attacker's code reads the projected SA token and gains cross-tenant Strimzi control-plane read+write access.
📍 영향받는 시스템
Kubernetes 환경 내 Console 커스텀 리소스 생성 권한이 있는 테넌트 및 Strimzi 운영 환경
⚔️ 공격 벡터
임의의 컨테이너 이미지를 포함한 Console 커스텀 리소스를 생성하여 고권한 ServiceAccount 토큰 탈취
🛡️ 대응 방법
Console 커스텀 리소스에 대한 생성 권한을 최소화하고, ServiceAccount의 ClusterRoleBinding 권한을 엄격히 제한하십시오.
🔧 검증 코드
명령어 결과로 출력되는 ClusterRole가 Strimzi CRD나 Kafka 관련 권한을 포함하고 있는지 확인하십시오.
kubectl get clusterrolebindings -o json | jq '.items[] | select(.subjects[]?.name == "target-serviceaccount-name") | .roleRef.name'