🇰🇷 한글 설명
KubeVirt의 virt-handler에서 사용하는 safepath 패키지의 OpenAtNoFollow 함수가 심볼릭 링크를 제대로 처리하지 못하는 결함이 발견되었습니다. 공격자는 이를 악용하여 virt-handler의 IPC 소켓 연결을 가로채거나 의도하지 않은 호스트 경로의 권한을 변경할 수 있습니다. 이로 인해 VM 관리 서비스의 중단이나 Kubernetes API 내 VM 상태 손상이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 파일을 열 때 '가짜 연결 통로(심볼릭 링크)'를 따라가지 않도록 설정했지만, 실제로는 이 통로를 따라가 버리는 보안 허점이 있습니다. 이를 통해 해커가 관리자 권한을 가진 프로세스를 속여 시스템 파일을 건드리거나 가상 머신 서비스를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in KubeVirt's safepath package used by virt-handler. The OpenAtNoFollow function uses O_PATH|O_NOFOLLOW to obtain a file descriptor to a path leaf, but downstream operations resolve the path via /proc/self/fd/N using link-following syscalls. When the leaf is a symlink, the kernel dereferences it, defeating the intended no-follow protection. An attacker with access to a virt-launcher pod can exploit this to redirect virt-handler's IPC socket connections, including the notify socket used for VM domain lifecycle events. By hijacking this socket, the attacker can inject arbitrary domain events into virt-handler, causing it to take incorrect lifecycle actions, corrupt VM state in the Kubernetes API, or crash — resulting in sustained denial of VM management services for all virtual machines on the affected node. Additionally, the same symlink following flaw allows virt-handler to apply file ownership or permission changes to unintended host paths.
📍 영향받는 시스템
KubeVirt virt-handler (safepath 패키지 사용 버전)
⚔️ 공격 벡터
virt-launcher 포드에 접근 권한이 있는 공격자가 심볼릭 링크를 이용해 virt-handler의 소켓 연결을 가로채거나 파일 권한을 조작함
🛡️ 대응 방법
KubeVirt 및 관련 safepath 패키지를 심볼릭 링크 추적 결함이 수정된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 KubeVirt 패키지의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사의 보안 권고문과 비교하십시오.
rpm -qa | grep kubevirt || dpkg -l | grep kubevirt