🇰🇷 한글 설명
OpenShift GitOps 오퍼레이터의 ClusterRole 리컨실러가 ClusterRole 객체의 리소스 소유권을 검증하지 않는 결함이 발견되었습니다. 네임스페이스 범위의 Argo CD 인스턴스가 이름 충돌을 유도하여 클러스터 범위의 Argo CD가 소유한 ClusterRole을 삭제함으로써 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
권한 관리 도구에서 누가 만든 권한인지 제대로 확인하지 않는 문제가 있습니다. 이를 악용하면 다른 사용자가 만든 중요한 권한 설정을 강제로 삭제하여 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the OpenShift GitOps operator. The ClusterRole reconciler does not validate resource ownership when reconciling ClusterRole objects. A namespace-scoped Argo CD instance can trigger deletion of a ClusterRole owned by a cluster-scoped Argo CD instance by crafting a name collision, resulting in a denial of service.
📍 영향받는 시스템
OpenShift GitOps operator (ClusterRole reconciler 포함 버전)
⚔️ 공격 벡터
네임스페이스 범위의 Argo CD 인스턴스에서 이름이 중복되는 ClusterRole을 생성하여 기존 클러스터 권한을 삭제 유도
🛡️ 대응 방법
OpenShift GitOps 오퍼레이터를 소유권 검증 로직이 포함된 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
명령어 결과에서 의도치 않게 삭제되거나 이름이 충돌하는 ClusterRole이 있는지 확인
oc get clusterrole | grep -i argocd