🇰🇷 한글 설명
Kong Operator에 내장된 Kong Kubernetes Ingress Controller(KIC)에서 발생하는 취약점입니다. 네임스페이스 범위의 Secret 생성 권한을 가진 사용자가 특정 레이블을 사용하여 CA 인증서 Secret을 생성하면, 중복된 ID로 인해 Kong Gateway가 전체 설정 문서를 거부하고 클러스터 전체의 인그레스 변경을 중단시키는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 특수한 인증서 파일을 만들면, 시스템 전체의 네트워크 설정이 꼬여서 모든 서비스의 접속이 차단될 수 있습니다. 이는 마치 잘못된 이름표를 붙인 서류가 전체 시스템의 업무를 마비시키는 것과 같습니다.
🇺🇸 원문 (English)
Kong Operator's embedded Kong Kubernetes Ingress Controller (KIC) allows a user with namespace-scoped Secret creation privileges to cause a cluster-wide ingress configuration denial of service. The embedded KIC collects CA-certificate Secrets across all watched namespaces using a label selector alone, without ingress-class or namespace restrictions. The CA-certificate primary key is derived from a user-supplied field in the Secret. Duplicate CA-certificate IDs cause Kong Gateway to reject the entire configuration document and halting all ingress changes cluster-wide.
📍 영향받는 시스템
Kong Operator (내장된 Kong Kubernetes Ingress Controller 포함)
⚔️ 공격 벡터
네임스페이스 내 Secret 생성 권한을 이용해 중복된 CA 인증서 ID를 가진 Secret 생성
🛡️ 대응 방법
Kong Operator를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자에게 불필요한 Secret 생성 권한을 제한합니다.
🔧 검증 코드
실행 결과에서 현재 설치된 Kong Operator의 이미지 태그를 확인하여 취약한 버전인지 검토합니다.
kubectl get pods -A | grep kong-operator