🇰🇷 한글 설명
IBM Observability with Instana (Agent) Build 1.0.303부터 1.0.323 버전에서 발생하는 취약점입니다. 인증된 Kubernetes 테넌트가 네임스페이스 구분 없이 동일한 이름의 CR을 사용하여 다른 테넌트의 클러스터 수준 RBAC 권한을 탈취하거나 영구적으로 파괴할 수 있습니다.
💡 쉬운 설명
공격자가 이름이 같은 가짜 설정 파일을 만들어 다른 사용자의 관리 권한을 뺏거나 삭제할 수 있는 문제입니다. 이로 인해 시스템 감시 기능이 중단되거나 보안 설정이 무력화될 수 있습니다.
🇺🇸 원문 (English)
IBM Observability with Instana (Agent) Build 1.0.303 through 1.0.323 IBM Instana Agent Operator could allow an authenticated Kubernetes tenant to hijack or permanently destroy another tenant's cluster-level RBAC permissions, caused by cluster-scoped RBAC objects being keyed solely by the bare CR name with no namespace disambiguation, allowing a same-named `InstanaAgent` CR in an attacker-controlled namespace to silently overwrite the shared `ClusterRoleBinding` or delete it outright and revoke the victim agent's cluster monitoring access.
📍 영향받는 시스템
IBM Observability with Instana (Agent) Build 1.0.303 through 1.0.323
⚔️ 공격 벡터
동일한 이름을 가진 InstanaAgent CR을 생성하여 클러스터 범위의 ClusterRoleBinding을 덮어쓰거나 삭제함
🛡️ 대응 방법
IBM에서 제공하는 최신 패치 버전으로 Instana Agent Operator를 업데이트하십시오.
🔧 검증 코드
출력된 InstanaAgent의 버전이 1.0.303에서 1.0.323 범위 내에 있는지 확인하십시오.
kubectl get instanaagent -A -o jsonpath='{.items[*].metadata.name} {.items[*].spec.version}'