🇰🇷 한글 설명
etcd의 특정 버전에서 인증된 사용자가 중첩된 트랜잭션을 사용하여 RBAC 키 범위 제한을 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 권한이 제한된 사용자라도 etcd 데이터 저장소 전체에 접근할 수 있습니다. 다만, API 서버가 인증을 직접 처리하는 일반적인 Kubernetes 환경은 영향을 받지 않습니다.
💡 쉬운 설명
권한이 적은 사용자가 특수한 명령어를 사용하여 원래 볼 수 없어야 할 모든 데이터를 몰래 훔쳐볼 수 있는 문제입니다. etcd를 직접 사용하는 환경에서 데이터 유출 위험이 있습니다.
🇺🇸 원문 (English)
etcd is a distributed key-value store for the data of a distributed system. Prior to versions 3.4.42, 3.5.28, and 3.6.9, an authenticated user with RBAC restricted permissions on key ranges can use nested transactions to bypass all key-level authorization. This allows any authenticated user with direct access to etcd to effectively ignore all key range restrictions, accessing the entire etcd data store. Kubernetes does not rely on etcd’s built-in authentication and authorization. Instead, the API server handles authentication and authorization itself, so typical Kubernetes deployments are not affected. Versions 3.4.42, 3.5.28, and 3.6.9 contain a patch. If upgrading is not immediately possible, reduce exposure by treating the affected RPCs as unauthenticated in practice. Restrict network access to etcd server ports so only trusted components can connect and require strong client identity at the transport layer, such as mTLS with tightly scoped client certificate distribution.
📍 영향받는 시스템
etcd versions prior to 3.4.42, 3.5.28, and 3.6.9
⚔️ 공격 벡터
인증된 사용자가 중첩된 트랜잭션(nested transactions)을 사용하여 키 범위 권한 제어를 우회함
🛡️ 대응 방법
etcd를 패치된 버전(3.4.42, 3.5.28, 3.6.9 이상)으로 업그레이드하거나 mTLS를 통해 네트워크 접근을 엄격히 제한함
🔧 검증 코드
출력된 버전이 패치된 버전(3.4.42, 3.5.28, 3.6.9)보다 낮은지 확인합니다.
etcd --version | grep -E 'etcd (v3\.[456])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access