🇰🇷 한글 설명
OpenShift Container Platform에서 완료된 pod가 ResourceQuota 제한에 포함되지 않고 Kubernetes 이벤트가 할당량 범위에 포함되지 않는 결함이 발견되었습니다. 권한이 없는 사용자가 네임스페이스 내에 pod를 생성하여 대량의 이벤트를 발생시킬 수 있으며, 이는 etcd에 축적되어 클러스터 전체의 API 서버 성능 저하를 유발할 수 있습니다.
💡 쉬운 설명
사용자가 제한 없이 가짜 기록(이벤트)을 계속 만들어내어 시스템의 저장 공간을 가득 채울 수 있는 문제입니다. 이로 인해 시스템이 느려지거나 전체 서비스가 마비될 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in OpenShift Container Platform. Completed pods with restartPolicy: Never do not count toward ResourceQuota pod limits, and Kubernetes events are not quota-scoped. A non-privileged user who can create pods in a namespace can exploit this to generate a large volume of events that accumulate in etcd, causing API server performance degradation across the cluster.
📍 영향받는 시스템
OpenShift Container Platform (ResourceQuota 및 Event 처리 로직 관련 버전)
⚔️ 공격 벡터
네임스페이스 내 pod 생성을 통한 대량의 Kubernetes 이벤트 생성 및 etcd 축적
🛡️ 대응 방법
OpenShift Container Platform을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 해당 취약점이 해결된 보안 패치 버전인지 공식 보안 공지(Advisory)와 대조하여 확인하십시오.
oc get clusterversion -o jsonpath='{.items[0].spec.version}'