🇰🇷 한글 설명
cluster-samples-operator에서 RBAC 권한 설정 오류가 발견되었습니다. openshift-config 네임스페이스의 coreos-pull-secret-reader 역할이 특정 리소스에 국한되지 않고 모든 Secret에 대해 get, list, watch 권한을 허용하여 민감한 정보 유출 위험이 있습니다.
💡 쉬운 설명
특정 프로그램이 꼭 필요한 정보 외에 클러스터의 모든 비밀번호와 인증 정보를 볼 수 있는 과도한 권한을 가지고 있습니다. 만약 이 프로그램이 해킹당하면 클러스터 전체의 중요한 보안 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the cluster-samples-operator. The RBAC Role coreos-pull-secret-reader in namespace openshift-config grants get, list, and watch permissions on all Secret resources without resourceNames scoping. The operator only requires access to the pull-secret Secret. If the samples-operator pod or its service account token is compromised through a separate vulnerability, an attacker could read all secrets in openshift-config, potentially including OAuth identity provider credentials, cloud provider credentials, and other sensitive cluster configuration.
📍 영향받는 시스템
cluster-samples-operator가 설치된 OpenShift 환경
⚔️ 공격 벡터
별도의 취약점을 통해 operator의 Pod 또는 서비스 어카운트 토큰을 탈취한 후, 권한을 남용하여 모든 Secret을 조회
🛡️ 대응 방법
RBAC Role의 권한을 resourceNames를 사용하여 특정 pull-secret 리소스로 제한하도록 수정
🔧 검증 코드
출력 결과의 resources 항목에 'secrets'가 있고, resourceNames 제한 없이 모든 secret에 대한 권한이 있는지 확인
oc get role coreos-pull-secret-reader -n openshift-config -o yaml | grep -A 5 "resources: [" -A 5 "verbs: ["
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access