🇰🇷 한글 설명
vCluster Platform 4.6.0 이전 버전에서 스코프가 제한된 액세스 키의 범위 검증이 충분하지 않아 권한 범위를 벗어난 리소스 접근이 가능한 취약점입니다. 액세스 키 소유자의 권한 범위 내에서는 제한이 있지만 스코프 보호 메커니즘이 우회될 수 있습니다.
💡 쉬운 설명
vCluster의 액세스 키가 제한된 범위를 제대로 검증하지 않아서, 권한이 없어야 하는 영역에 접근할 수 있게 됩니다. 업그레이드하거나 액세스 키 권한을 더 제한적으로 설정하면 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
vCluster Platform provides a Kubernetes platform for managing virtual clusters, multi-tenancy, and cluster sharing. Prior to versions 4.6.0, 4.5.4, 4.4.2, and 4.3.10, when an access key is created with a limited scope, the scope can be bypassed to access resources outside of it. However, the user still cannot access resources beyond what is accessible to the owner of the access key. Versions 4.6.0, 4.5.4, 4.4.2, and 4.3.10 fix the vulnerability. Some other mitigations are available. Users can limit exposure by reviewing access keys which are scoped and ensuring any users with access to them have appropriate permissions set. Creating automation users with very limited permissions and using access keys for these automation users can be used as a temporary workaround where upgrading is not immediately possible but scoped access keys are needed.
📍 영향받는 시스템
vCluster Platform 버전 4.6.0 미만, 4.5.4 미만, 4.4.2 미만, 4.3.10 미만
⚔️ 공격 벡터
제한된 스코프의 액세스 키로 인증 후 API 요청을 조작하여 스코프 범위를 벗어난 리소스에 접근 시도
🛡️ 대응 방법
4.6.0, 4.5.4, 4.4.2, 4.3.10 이상으로 즉시 업그레이드하거나 매우 제한된 권한의 자동화 사용자를 생성하여 임시 완화
🔧 검증 코드
vCluster 설치 여부와 버전을 확인합니다. Helm으로 설치된 경우 버전을 출력하고, kubectl로 직접 설치된 경우 이미지 태그에서 버전을 확인하십시오. 취약점 버전이면 즉시 업그레이드하세요.
helm list -A 2>/dev/null | grep -i vcluster | awk '{print $9}' || kubectl get deployment -n vcluster -o jsonpath='{.items[*].spec.template.spec.containers[0].image}' 2>/dev/null || echo 'Not found'