🇰🇷 한글 설명
MaaS API에서 발견된 결함으로, 클러스터 내의 모든 포드가 HTTP 헤더(X-MaaS-Username, X-MaaS-Group)를 위조하여 Kuadrant AuthPolicy 게이트웨이를 우회할 수 있습니다. 이 취약점을 통해 공격자는 타 테넌트 네임스페이스의 Kubernetes ServiceAccount 토큰을 생성하거나 API 키를 취소하고 민감한 모델 액세스 설정을 탈취할 수 있습니다.
💡 쉬운 설명
시스템이 사용자의 신분증을 확인하지 않고, 누구나 가짜 신분증(헤더)을 만들어 제시하면 그대로 믿어버리는 문제입니다. 이를 통해 해커는 다른 사용자의 권한을 훔치거나 중요한 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the MaaS API. This vulnerability allows any pod within the cluster to bypass the Kuadrant AuthPolicy gateway by forging HTTP headers, specifically `X-MaaS-Username` and `X-MaaS-Group`, which are trusted verbatim. This lack of first-party authentication enables an attacker to gain unauthorized access and escalate privileges. The concrete consequences include the ability to mint Kubernetes ServiceAccount tokens in other tenants' namespaces, revoke API keys, and exfiltrate sensitive model access configuration.
📍 영향받는 시스템
MaaS API를 사용하는 Kuadrant AuthPolicy 기반 클러스터 환경
⚔️ 공격 벡터
HTTP 헤더(X-MaaS-Username, X-MaaS-Group) 위조를 통한 인증 우회 및 권한 상승
🛡️ 대응 방법
MaaS API에서 신뢰할 수 없는 헤더를 차단하고, 클라이언트 인증(First-party authentication) 메커니즘을 도입하여 헤더 검증 로직을 강화해야 합니다.
🔧 검증 코드
위 명령어를 실행했을 때 인증 없이 관리자 권한의 데이터가 반환된다면 취약한 상태입니다.
curl -v -H 'X-MaaS-Username: admin' -H 'X-MaaS-Group: admin' http://maas-api-endpoint/api/resource