🇰🇷 한글 설명
Red Hat OpenShift용 koku-metrics-operator에서 발견된 취약점입니다. 공격자가 CostManagementMetricsConfig 커스텀 리소스를 수정할 수 있다면 임의의 업로드 URL을 지정할 수 있으며, 이 과정에서 오퍼레이터의 Kubernetes 서비스 계정 토큰이 탈취될 수 있습니다.
💡 쉬운 설명
설정 파일을 바꿀 수 있는 권한을 가진 사람이 가짜 주소를 입력하면, 시스템이 중요한 비밀번호(토큰)를 그 주소로 몰래 보내버리는 문제입니다. 이를 통해 공격자는 시스템의 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the koku-metrics-operator for Red Hat OpenShift. The operator's CostManagementMetricsConfig custom resource allows a user able to edit the CR to specify an arbitrary upload URL. The operator attaches its own Kubernetes service-account bearer token to queries sent to this user-controlled URL, allowing the attacker to obtain the token.
📍 영향받는 시스템
Red Hat OpenShift koku-metrics-operator (CostManagementMetricsConfig CR 사용 환경)
⚔️ 공격 벡터
CostManagementMetricsConfig 커스텀 리소스의 업로드 URL을 공격자의 서버 주소로 조작하여 서비스 계정 토큰 탈취
🛡️ 대응 방법
koku-metrics-operator를 최신 보안 패치 버전으로 업데이트하고, 커스텀 리소스(CR)에 대한 편집 권한을 최소화(RBAC 적용)하십시오.
🔧 검증 코드
명령어 결과에 CostManagementMetricsConfig 리소스가 존재한다면 해당 취약점의 잠재적 공격 대상이 될 수 있습니다.
oc get crs.koku.redhat.com -A | grep CostManagementMetricsConfig