🇰🇷 한글 설명
Backstage의 @backstage/plugin-kubernetes-backend 패키지에서 부적절한 엔티티 검증 취약점이 발견되었습니다. Kubernetes 읽기 권한을 가진 인증된 사용자가 조작된 엔티티 데이터를 제공하여 의도된 범위를 벗어난 Kubernetes 워크로드 메타데이터에 접근할 수 있습니다. 이 문제는 0.21.8 버전에서 수정되었습니다.
💡 쉬운 설명
Kubernetes를 볼 수 있는 권한이 있는 사용자가 특수한 데이터를 입력하여 자신이 볼 수 없는 다른 영역의 정보까지 몰래 훔쳐볼 수 있는 문제입니다. 다행히 데이터의 내용을 수정할 수는 없고 정보만 읽을 수 있는 수준입니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 0.21.8, the @backstage/plugin-kubernetes-backend package is affected by improper entity validation in deprecated kubernetes services endpoint. An authenticated user with Kubernetes read permissions could access Kubernetes workload data beyond their intended scope by supplying crafted entity data to the deprecated services endpoint. The exposure is limited to read-only access to Kubernetes object metadata across configured clusters. This issue is fixed in version 0.21.8.
📍 영향받는 시스템
@backstage/plugin-kubernetes-backend 0.21.8 미만 버전
⚔️ 공격 벡터
Kubernetes 읽기 권한을 가진 인증된 사용자가 조작된 엔티티 데이터를 폐기된 서비스 엔드포인트로 전송
🛡️ 대응 방법
@backstage/plugin-kubernetes-backend 패키지를 0.21.8 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.21.8보다 낮은지 확인합니다.
npm list @backstage/plugin-kubernetes-backend