🇰🇷 한글 설명
Data Science Pipelines Operator(DSPO)의 ClusterRole에 불필요하게 광범위한 권한이 포함되어 있는 결함이 발견되었습니다. 공격자가 DSPO 포드를 장악할 경우, 포드 내 명령 실행 및 클러스터 전체 역할 관리 권한을 악용하여 쿠버네티스 클러스터 전체에 대한 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
데이터 분석 도구에 너무 많은 권한이 설정되어 있어, 이 도구가 해킹당하면 해커가 전체 시스템을 마음대로 조종할 수 있는 위험이 있습니다. 마치 집 열쇠를 관리하는 사람에게 집 전체뿐만 아니라 옆집 열쇠까지 다 준 것과 같습니다.
🇺🇸 원문 (English)
A flaw was found in the Data Science Pipelines Operator (DSPO). The operator's ClusterRole, which defines its permissions, includes extensive privileges beyond what is necessary for its operation. These excessive permissions, such as the ability to execute commands within pods and manage cluster-wide roles, could be exploited. If the DSPO pod were compromised, an attacker could leverage these privileges to gain full administrative control over the entire Kubernetes cluster.
📍 영향받는 시스템
Data Science Pipelines Operator (DSPO)가 설치된 Kubernetes 클러스터
⚔️ 공격 벡터
DSPO 포드 침해 후 과도하게 부여된 ClusterRole 권한을 이용한 권한 상승 및 클러스터 장악
🛡️ 대응 방법
DSPO의 ClusterRole 권한을 최소 권한 원칙(Principle of Least Privilege)에 따라 필요한 범위로 축소 조정
🔧 검증 코드
출력 결과에서 DSPO 관련 ClusterRole에 pods/exec 또는 cluster-admin 수준의 과도한 권한이 포함되어 있는지 확인합니다.
kubectl get clusterrole -o json | grep -i 'dspo' && kubectl describe clusterrole <dspo-role-name> | grep -E 'pods|roles|exec'