🇰🇷 한글 설명
kuma-dp가 Unix 도메인 소켓을 통해 Envoy 관리 API를 사용하도록 설정된 경우, 모든 인터페이스에 바인딩된 TCP 9902 포트의 readiness 서비스가 인증 없이 Envoy 관리 API 대부분을 노출합니다. 공격자는 네트워크 접근 권한이 있다면 자격 증명 없이도 설정 덤프, 클러스터 및 리스너 목록, 통계 및 메시 신뢰 번들(mesh trust bundle)을 읽을 수 있습니다.
💡 쉬운 설명
보안 설정이 미흡하여 네트워크를 통해 누구나 시스템의 내부 설정 정보를 몰래 훔쳐볼 수 있는 상태입니다. 다행히 설정을 바꾸거나 삭제하는 파괴적인 행동은 불가능하지만, 내부 구조가 노출되어 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
When kuma-dp is configured with the Envoy admin API on a Unix domain socket, which is the default, its readiness service on TCP port 9902 - bound to all interfaces - forwards almost the entire Envoy admin API to any caller that can reach the port, with no authentication.
An attacker with network access to a data plane's port 9902, for example another pod on the cluster network, can read Envoy and data plane configuration without credentials: config dumps, cluster and listener lists, stats, and the mesh trust bundle. Exposure is read-only - destructive Envoy admin actions are blocked and private keys are not exposed.
📍 영향받는 시스템
kuma-dp (Envoy admin API가 TCP 9902 포트에 바인딩된 설정)
⚔️ 공격 벡터
클러스터 네트워크 내의 다른 포드(Pod) 등 9902 포트에 접근 가능한 네트워크 위치에서 인증 없이 API 호출
🛡️ 대응 방법
Envoy 관리 API가 모든 인터페이스가 아닌 로컬(localhost) 또는 Unix 도메인 소켓에만 바인딩되도록 설정을 변경하십시오.
🔧 검증 코드
결과에 0.0.0.0:9902 또는 :::9902와 같이 모든 인터페이스에 열려 있는 상태가 나타나면 취약한 상태입니다.
netstat -tuln | grep :9902