🇰🇷 한글 설명
External Secrets Operator의 webhook 생성기 초기화 순서 오류로 인해 설정된 레이블 강제 적용 플래그(EnforceLabels)가 초기화되는 취약점이 발견되었습니다. 이로 인해 특정 레이블이 포함되어야 하는 보안 검사가 건너뛰어질 수 있습니다.
💡 쉬운 설명
보안 규칙을 확인하는 과정에서 실수로 확인 스위치가 꺼지는 버그가 발생했습니다. 이 때문에 꼭 있어야 할 보안 표시가 없는 데이터도 통과될 위험이 있습니다.
🇺🇸 원문 (English)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Starting in version 0.10.0 and prior to version 1.3.2, a bug in the `webhook` generator initialization order incorrectly cleared the label-enforcement flag (`EnforceLabels`) after it was set, resulting in the provider-side check for `external-secrets.io/type=webhook` being skipped (and the operation to succeed while it should have failed with `secret does not contain needed label 'external-secrets.io/type: webhook'. Update secret label to use it with webhook`. Version 1.3.2 contains a patch.
📍 영향받는 시스템
External Secrets Operator version 0.10.0 ~ 1.3.1
⚔️ 공격 벡터
필수 레이블(external-secrets.io/type=webhook)이 누락된 Secret을 생성하여 보안 검사를 우회함
🛡️ 대응 방법
External Secrets Operator를 버전 1.3.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.3.2 미만인지 확인하여 취약 여부를 판단합니다.
helm list -A | grep external-secrets