🇰🇷 한글 설명
Kubeflow Pipelines 2.18.0 이전 버전에서 GET /artifacts/get?source=volume 엔드포인트의 볼륨 아티팩트 핸들러가 호출자가 지정한 파일 경로를 선택된 볼륨 내로 제한하지 않습니다. 따라서 경로 순회(path traversal)를 통해 아티팩트 서빙 프로세스가 읽을 수 있는 볼륨 외부의 파일을 읽을 수 있습니다. 이 문제는 2.18.0 버전에서 수정되었습니다.
💡 쉬운 설명
Kubeflow Pipelines에서 사용자가 지정한 파일 경로를 제대로 검증하지 않아, 허용된 저장소 밖의 파일도 읽을 수 있는 취약점입니다. 2.18.0 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
Kubeflow Pipelines enables users to build and deploy portable, scalable machine learning workflows. Prior to 2.18.0, the volume artifact handler for GET /artifacts/get?source=volume did not confine a caller-supplied file path to the selected volume. A caller who can reach the route and identify an existing mounted volume can use path traversal to read files outside that volume when the artifact-serving process can read them. The frontend pod serves the request when artifact proxying is disabled, while the selected namespace's artifact-service pod serves it when proxying is enabled. A deployment with authentication disabled requires no application credentials; in multi-user deployments, the caller ordinarily must be authorized for the supplied namespace. This issue is fixed in version 2.18.0.
📍 영향받는 시스템
Kubeflow Pipelines 2.18.0 미만 버전
⚔️ 공격 벡터
GET /artifacts/get?source=volume 요청에 상위 디렉터리 이동(../) 등을 포함한 경로를 넣어 볼륨 외부 파일을 읽음 (인증 비활성화 환경은 자격 증명 불필요, 다중 사용자 환경은 해당 네임스페이스 권한 필요)
🛡️ 대응 방법
Kubeflow Pipelines를 2.18.0 이상으로 업그레이드하고, 가능하면 인증을 활성화하며 네임스페이스 접근 권한을 최소화
🔧 검증 코드
출력된 이미지 태그에서 Kubeflow Pipelines 버전을 확인하여 2.18.0 미만이면 취약, 2.18.0 이상이면 패치 완료로 판단
kubectl get deployment -A -o jsonpath='{range .items[*]}{.metadata.namespace}{"\t"}{.metadata.name}{"\t"}{.spec.template.spec.containers[*].image}{"\n"}{end}' | grep -i kubeflow