🇰🇷 한글 설명
AWS Private CA Connector for Kubernetes(aws-privateca-issuer) v1.10.1 이전 버전의 발급자 해석 로직에 부적절한 권한 검증 결함이 있습니다. 이로 인해 인증된 원격 사용자가 승인 정책상 허용되지 않은 클러스터 범위 AWS Private CA 발급자가 서명한 인증서(하위 CA 인증서 포함)를 획득할 수 있습니다. v1.10.1부터는 issuerRef.kind가 AWSPCAIssuer 또는 AWSPCAClusterIssuer와 정확히 일치하고 참조한 발급자와 맞아야 합니다.
💡 쉬운 설명
쿠버네티스에서 인증서를 자동 발급하는 AWS 도구의 허점으로, 로그인한 사용자가 본래 권한이 없는 인증서까지 발급받을 수 있습니다. 최신 버전으로 업데이트하고 인증서 요청의 발급자 정보를 정확히 맞추면 해결됩니다.
🇺🇸 원문 (English)
Incorrect authorization in the issuer resolution logic in AWS Private CA Connector for Kubernetes (aws-privateca-issuer) before v1.10.1 might allow an authenticated remote user to obtain certificates, including subordinate CA certificates, signed by a cluster-scoped AWS Private CA issuer that their approval policy does not authorize.
To remediate this issue, users should upgrade aws-privateca-issuer to version v1.10.1 or the AWS Private CA Connector for Kubernetes EKS add-on to version v1.10.1-eksbuild.1, and update any certificate requests, Certificate resources, or Ingress annotations whose issuerRef.kind is missing, incorrect, or does not match the referenced issuer, since v1.10.1 requires issuerRef.kind to be exactly AWSPCAIssuer or AWSPCAClusterIssuer and to match the issuer it references.
📍 영향받는 시스템
aws-privateca-issuer v1.10.1 미만 버전 및 EKS 애드온 v1.10.1-eksbuild.1 미만 버전
⚔️ 공격 벡터
인증된 원격 사용자가 issuerRef를 조작해 승인 정책이 허용하지 않는 클러스터 범위 발급자로부터 하위 CA 인증서를 포함한 인증서를 발급받음
🛡️ 대응 방법
aws-privateca-issuer를 v1.10.1 이상(EKS 애드온은 v1.10.1-eksbuild.1 이상)으로 업그레이드하고, issuerRef.kind 및 참조 발급자가 일치하도록 CertificateRequest, Certificate, Ingress 어노테이션을 수정
🔧 검증 코드
출력된 이미지 태그가 v1.10.1 이상이면 패치된 것이며, 이전 버전 태그가 보이면 취약한 상태이므로 업그레이드가 필요합니다.
kubectl get deployment -A -o jsonpath='{range .items[*]}{.metadata.namespace}{"/"}{.metadata.name}{" "}{.spec.template.spec.containers[*].image}{"\n"}{end}' 2>/dev/null | grep -i privateca