🇰🇷 한글 설명
Red Hat OpenShift AI의 maas-api 및 maas-controller ServiceAccount에 운영 요구사항을 초과하는 클러스터 전체 권한이 부여된 결함이 발견되었습니다. 공격자가 해당 계정을 탈취할 경우, 새로운 ClusterRoleBinding을 생성하거나 클러스터 내 모든 비밀 정보를 탈취하여 전체 클러스터 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
특정 서비스 계정이 필요 이상으로 너무 많은 권한을 가지고 있어 보안에 취약한 상태입니다. 해커가 이 계정을 가로채면 전체 시스템을 마음대로 조종하거나 중요한 정보를 모두 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the maas-api and maas-controller ServiceAccounts within Red Hat OpenShift AI. These ServiceAccounts are granted cluster-wide permissions that exceed their operational requirements. An attacker who compromises the identity of these ServiceAccounts, either through a remote code execution vulnerability or by creating a malicious pod in the same namespace, could exploit these excessive permissions. This could lead to full cluster administrator privileges through the creation of new ClusterRoleBindings or the disclosure of sensitive information by accessing all secrets across the cluster.
📍 영향받는 시스템
Red Hat OpenShift AI (maas-api 및 maas-controller ServiceAccount 사용 환경)
⚔️ 공격 벡터
RCE 취약점 악용 또는 동일 네임스페이스 내 악성 Pod 생성을 통한 ServiceAccount 권한 탈취
🛡️ 대응 방법
해당 ServiceAccount의 권한을 최소 권한 원칙(Least Privilege)에 따라 클러스터 범위가 아닌 필요한 범위로 제한하는 패치 적용
🔧 검증 코드
명령어 결과에 maas-api 계정이 관리자 권한(cluster-admin)과 연결된 바인딩이 나타나면 취약한 상태입니다.
oc get clusterrolebinding -o json | jq '.items[] | select(.subjects[]?.name == "maas-api")'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access