🇰🇷 한글 설명
Kubewarden 정책 엔진에서 권한 있는 사용자가 deprecated된 호스트 콜백 API(kubernetes/ingresses, kubernetes/namespaces, kubernetes/services)를 악용하여 Ingress, Namespace, Service 리소스에 대한 읽기 접근 권한을 획득할 수 있는 취약점입니다. 이 공격은 읽기 전용이며 Secret이나 ConfigMap에 접근할 수 없습니다.
💡 쉬운 설명
Kubernetes의 정책 관리 도구인 Kubewarden에서 특정 권한 있는 사용자가 deprecated된 기능을 악용하여 네트워크 설정, 작업 공간, 서비스 정보를 읽을 수 있는 문제입니다. 다행히 정보 열람만 가능하고 데이터 수정이나 민감한 정보 접근은 불가능합니다.
🇺🇸 원문 (English)
Kubewarden is a policy engine for Kubernetes. Kubewarden cluster operators can grant permissions to users to deploy namespaced AdmissionPolicies and AdmissionPolicyGroups in their Namespaces. One of Kubewarden promises is that configured users can deploy namespaced policies in a safe manner, without privilege escalation. An attacker with privileged "AdmissionPolicy" create permissions (which isn't the default) could make use of 3 deprecated host-callback APIs: kubernetes/ingresses, kubernetes/namespaces, kubernetes/services. The attacker can craft a policy that exercises these deprecated API calls and would allow them read access to Ingresses, Namespaces, and Services resources respectively.
This attack is read-only, there is no write capability and no access to Secrets, ConfigMaps, or other resource types beyond these three.
📍 영향받는 시스템
Kubewarden 정책 엔진 (deprecated host-callback API 사용 중인 모든 버전)
⚔️ 공격 벡터
AdmissionPolicy 생성 권한 보유 사용자가 kubernetes/ingresses, kubernetes/namespaces, kubernetes/services 호스트 콜백 API를 활용하는 정책 배포
🛡️ 대응 방법
최신 버전의 Kubewarden으로 업그레이드하고, deprecated API 사용 제거 및 불필요한 AdmissionPolicy 생성 권한 제한
🔧 검증 코드
Kubewarden 설치 시 policy 관련 리소스가 출력되고, 미설치 시 'Kubewarden not detected' 메시지가 표시됩니다. 출력된 리소스가 있으면 해당 시스템에서 취약점 노출 가능성을 확인하세요.
kubectl get apiresources | grep -i 'policy\|admission' && kubectl get crd | grep -i policy || echo 'Kubewarden not detected'