🇰🇷 한글 설명
Kong Kubernetes Ingress Controller(KIC)에서 네임스페이스 범위의 Secret 생성 권한을 가진 사용자가 클러스터 전체의 인그레스 설정을 중단시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다. KIC가 모든 네임스페이스의 CA 인증서 Secret을 제한 없이 수집하는 과정에서 중복된 ID가 생성되면, Kong Gateway가 전체 설정 문서를 거부하여 클러스터 전체의 인그레스 변경이 중단됩니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 가짜 인증서 정보를 만들어 넣으면, 전체 네트워크 설정 시스템이 충돌을 일으켜 서비스가 멈출 수 있습니다. 이는 한 명의 사용자가 전체 시스템의 네트워크 설정을 마비시킬 수 있는 위험한 문제입니다.
🇺🇸 원문 (English)
Kong Kubernetes Ingress Controller (KIC) allows a user with namespace-scoped Secret creation privileges to cause a cluster-wide ingress configuration denial of service. KIC collects CA-certificate Secrets across all watched namespaces using a label selector alone, without ingress-class or namespace restrictions. The CA-certificate primary key is derived from a user-supplied field in the Secret. Duplicate CA-certificate IDs cause Kong Gateway to reject the entire configuration document and halting all ingress changes cluster-wide.
📍 영향받는 시스템
Kong Kubernetes Ingress Controller (KIC) - 상세 버전 확인 필요
⚔️ 공격 벡터
네임스페이스 내 Secret 생성 권한을 이용해 중복된 CA-certificate ID를 가진 Secret을 생성하여 Kong Gateway의 설정 로드를 방해함
🛡️ 대응 방법
KIC를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자에게 불필요한 Secret 생성 권한을 제한함
🔧 검증 코드
설치된 Kong Ingress Controller의 버전 정보를 확인하여 취약점이 해결된 패치 버전인지 대조함
kubectl get pods -A | grep kong-ingress-controller