🇰🇷 한글 설명
Capsule은 Kubernetes 네임스페이스 하이재킹을 방지하기 위해 웹훅을 사용하여 업데이트 요청을 검증하지만, namespace/finalize 및 namespace/status 서브리소스에 대한 검증 규칙이 누락되어 있습니다. 이로 인해 권한이 있는 테넌트 관리자가 해당 서브리소스를 통해 네임스페이스 메타데이터를 수정하여 하이재킹을 수행할 수 있습니다. Capsule 0.13.0 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
보안 검사기가 특정 통로(서브리소스)를 감시하지 않아, 관리자가 몰래 네임스페이스의 정보를 바꿔서 권한을 가로챌 수 있는 취약점입니다. Capsule 버전을 0.13.0 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. To defend against namespace hijacking achieved through update/patch operations on namespaces, Capsule uses a webhook to validate update requests targeting namespaces. However, in Kubernetes, the namespace/finalize and namespace/status subresource APIs can also modify various fields of a namespace, including the metadata field. Prior to version 0.13.0, the webhook does not define interception rules for these subresources. As a result, if a tenant administrator has permission to modify namespace/status or namespace/finalize, they can successfully perform namespace hijacking. Version 0.13.0 fixes the issue. Another mitigation is to add two subresources (namespaces and snamespaces/status with namespace/finalize within it) to the resources list in the ValidatingWebhookConfiguration rules.
📍 영향받는 시스템
Capsule versions prior to 0.13.0
⚔️ 공격 벡터
namespace/status 또는 namespace/finalize 서브리소스 API를 사용하여 네임스페이스 메타데이터를 조작
🛡️ 대응 방법
Capsule을 0.13.0 버전 이상으로 업데이트하거나, ValidatingWebhookConfiguration에 해당 서브리소스들을 추가
🔧 검증 코드
출력된 Capsule의 버전이 0.13.0 미만인지 확인합니다.
helm list -A | grep capsule | awk '{print $4}'