🇰🇷 한글 설명
Devtron은 Kubernetes용 오픈 소스 도구 통합 플랫폼입니다. 버전 2.0.0 및 이전 버전에서 Attributes API 인터페이스의 취약성이 존재하여 인증된 사용자(저특권 CI/CD 개발자 포함)가 /orchestrator/attributes?key=apiTokenSecret 엔드포인트에 접근하여 글로벌 API 토큰 서명 키를 얻을 수 있습니다. 공격자는 이 키를 사용하여 임의의 사용자 ID에 대한 JWT 토큰을 오프라인에서 생성하여 Devtron 플랫폼을 완전히 제어하고 Kubernetes 클러스터로 이동할 수 있습니다.
💡 쉬운 설명
Devtron 플랫폼의 취약성으로 인해 인증된 사용자가 글로벌 API 토큰을 얻을 수 있어 플랫폼을 제어하고 Kubernetes 클러스터로 이동할 수 있습니다. 이는 낮은 권한의 사용자도 플랫폼을 완전히 제어할 수 있는 취약성입니다. 이 문제는 커밋 d2b0d26을 통해 패치되었습니다.
🇺🇸 원문 (English)
Devtron is an open source tool integration platform for Kubernetes. In version 2.0.0 and prior, a vulnerability exists in Devtron's Attributes API interface, allowing any authenticated user (including low-privileged CI/CD Developers) to obtain the global API Token signing key by accessing the /orchestrator/attributes?key=apiTokenSecret endpoint. After obtaining the key, attackers can forge JWT tokens for arbitrary user identities offline, thereby gaining complete control over the Devtron platform and laterally moving to the underlying Kubernetes cluster. This issue has been patched via commit d2b0d26.
📍 영향받는 시스템
Devtron 버전 2.0.0 및 이전 버전
⚔️ 공격 벡터
인증된 사용자가 /orchestrator/attributes?key=apiTokenSecret 엔드포인트에 접근하여 글로벌 API 토큰 서명 키를 얻은 후 임의의 사용자 ID에 대한 JWT 토큰을 생성
🛡️ 대응 방법
Devtron 플랫폼을 최신 버전으로 업데이트하고, Attributes API 인터페이스에 대한 접근을 제한합니다.
🔧 검증 코드
로컬에서 Python을 사용하여 Devtron 플랫폼의 Attributes API 인터페이스에 대한 접근을 확인합니다. your-devtron-url.com, your-username, your-password을 실제 Devtron 플랫폼의 URL, 사용자 이름, 패스워드로 대체합니다. 이 코드는 Attributes API 인터페이스에 대한 접근 여부를 확인하여 취약성 여부를 판단합니다.
python -c "import requests; response = requests.get('https://your-devtron-url.com/orchestrator/attributes?key=apiTokenSecret', auth=('your-username', 'your-password')); if response.status_code == 200: print('{{"result": "취약", "reason": "Attributes API 인터페이스 접근 가능"}}'); else: print('{{"result": "양호", "reason": "Attributes API 인터페이스 접근 불가"}}')"