🇰🇷 한글 설명
Yoke의 Air Traffic Controller(ATC) 구성 요소에서 인증 메커니즘이 제대로 작동하지 않아 클러스터 네트워크 내의 모든 pod가 ATC 웹후크에 AdmissionReview 요청을 보낼 수 있는 취약점이 있습니다.
💡 쉬운 설명
Yoke의 ATC 구성 요소에서 인증 메커니즘이 제대로 작동하지 않아 공격자가 인증 없이 WASM 모듈을 실행할 수 있습니다. 이는 클러스터 네트워크 내의 모든 pod에서 발생할 수 있습니다. 이는 공격자가 시스템을 제어할 수 있는 취약점입니다.
🇺🇸 원문 (English)
Yoke is a Helm-inspired infrastructure-as-code (IaC) package deployer. In 0.19.0 and earlier, a vulnerability exists in the Air Traffic Controller (ATC) component of Yoke. The ATC webhook endpoints lack proper authentication mechanisms, allowing any pod within the cluster network to directly send AdmissionReview requests to the webhook, bypassing Kubernetes API Server authentication. This enables attackers to trigger WASM module execution in the ATC controller context without proper authorization.
📍 영향받는 시스템
Yoke 0.19.0 버전 및 이전 버전
⚔️ 공격 벡터
클러스터 네트워크 내의 pod에서 ATC 웹후크에 AdmissionReview 요청을 보내는 방법
🛡️ 대응 방법
Yoke의 최신 버전으로 업데이트하거나, ATC 웹후크에 대한 인증 메커니즘을 추가하여 취약점을 해결할 수 있습니다.