🇰🇷 한글 설명
Strimzi 0.49.0에서 0.50.0 버전 사이에서 다단계 CA 체인을 사용하는 사용자 정의 CA 설정 시 mTLS 인증 설정 오류가 발생합니다. 이로 인해 CA 체인에 포함된 모든 CA가 신뢰되어, 체인 내 어떤 CA로 서명된 인증서라도 인증을 통과할 수 있는 보안 취약점이 존재합니다.
💡 쉬운 설명
인증서 검사 과정에서 중간 단계의 모든 인증서를 다 믿어버리는 문제가 발생했습니다. 이로 인해 원래 허용되지 않은 인증서를 가진 사용자도 시스템에 접속할 수 있게 됩니다.
🇺🇸 원문 (English)
Strimzi provides a way to run an Apache Kafka cluster on Kubernetes or OpenShift in various deployment configurations. In versions 0.49.0 through 0.50.0, when using a custom Cluster or Clients CA with a multistage CA chain consisting of multiple CAs, Strimzi incorrectly configures the trusted certificates for mTLS authentication on the internal as well as user-configured listeners. All CAs from the CA chain will be trusted. And users with certificates signed by any of the CAs in the chain will be able to authenticate. This issue affects only users using a custom Cluster or Clients CA with a multistage CA chain consisting of multiple CAs. It does not affect users using the Strimzi-managed Cluster and Clients CAs. It also does not affect users using custom Cluster or Clients CA with only a single CA (i.e., no CA chain with multiple CAs). This issue has been fixed in version 0.50.1. To workaround this issue, instead of providing the full CA chain as the custom CA, users can provide only the single CA that should be used.
📍 영향받는 시스템
Strimzi versions 0.49.0 through 0.50.0 (using multistage custom CA chain)
⚔️ 공격 벡터
CA 체인 내의 임의의 CA로 서명된 인증서를 사용하여 mTLS 인증을 우회하여 접근
🛡️ 대응 방법
Strimzi를 0.50.1 버전 이상으로 업데이트하거나, 전체 CA 체인 대신 단일 CA만 제공하도록 설정을 변경하십시오.
🔧 검증 코드
출력된 Strimzi의 버전이 0.49.0 이상 0.50.0 이하인지 확인하십시오.
helm list -A | grep strimzi | awk '{print $4}'