🇰🇷 한글 설명
konflux-ci의 사용자 인터페이스 프록시에서 기본 서비스 인증기관이 없는 환경일 때 내부 백엔드 서비스 연결에 대한 TLS 인증서 검증을 자동으로 비활성화하는 결함이 발견되었습니다. 프록시는 이 요청에 사용자 가장(impersonation) 권한이 있는 클러스터 범위 인증 토큰을 첨부하므로, 트래픽을 가로챌 수 있는 인접 네트워크 공격자가 자격 증명을 탈취하여 클러스터 전체에 대한 관리자 권한을 얻을 수 있습니다. 권한 상승이 가능한 취약점입니다.
💡 쉬운 설명
같은 네트워크에 있는 공격자가 내부 통신을 엿들으면 클러스터 관리용 인증 정보를 빼낼 수 있습니다. 이 정보로 전체 시스템을 관리자 권한으로 장악할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in konflux-ci. This vulnerability allows privilege escalation when the user interface proxy automatically disables Transport Layer Security (TLS) certificate verification for connections to internal backend services in environments lacking a default service certificate authority. Because the proxy attaches a cluster-scoped authentication token with user impersonation rights to these requests, an adjacent network attacker capable of intercepting traffic can capture the credentials to gain full administrative control of the cluster.
📍 영향받는 시스템
konflux-ci 사용자 인터페이스 프록시를 사용하는 Kubernetes 클러스터 환경 (정확한 영향 버전은 공식 advisory 확인 필요)
⚔️ 공격 벡터
동일 네트워크 세그먼트의 인접 공격자가 내부 백엔드 통신을 가로채 클러스터 범위 토큰을 탈취
🛡️ 대응 방법
konflux-ci를 공식 패치 버전으로 업데이트하고, 내부 백엔드 서비스에 대해 TLS 인증서 검증을 강제 활성화하며, 탈취 가능성이 있는 토큰을 즉시 교체
🔧 검증 코드
konflux 관련 배포가 출력되면 설치된 것이므로 이미지 태그나 버전을 공식 패치 버전과 비교하고, 결과가 없으면 해당 구성요소가 없는 것입니다.
kubectl get deployments -A -o wide 2>/dev/null | grep -i konflux
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Active Directory Certificate Services