🇰🇷 한글 설명
Antrea 2.4.5 미만 및 2.5.2 미만 버전에서 듀얼스택 네트워킹과 IPsec 암호화가 활성화된 Kubernetes 클러스터에서 IPv6 Pod 간 트래픽이 암호화되지 않고 평문으로 전송되는 취약점이다. IPv4는 ESP 암호화가 정상 적용되지만, IPv6는 Geneve/VXLAN 캡슐화 후 IPsec 계층을 우회하여 전송된다.
💡 쉬운 설명
Kubernetes 네트워킹 솔루션 Antrea의 보안 설정 오류로 IPv6 트래픽이 암호화되지 않고 노출된다. 단일 스택(IPv4 또는 IPv6만) 환경은 영향을 받지 않으며, 듀얼스택에서 IPsec 암호화를 사용하는 경우만 취약하다.
🇺🇸 원문 (English)
Antrea is a Kubernetes networking solution intended to be Kubernetes native. Prior to 2.4.5 and 2.5.2, a missing encryption vulnerability affects inter-Node Pod traffic. In Antrea clusters configured for dual-stack networking with IPsec encryption enabled (trafficEncryptionMode: ipsec), Antrea fails to apply encryption for IPv6 Pod traffic. While the IPv4 traffic is correctly encrypted via ESP (Encapsulating Security Payload), traffic using IPv6 is transmitted in plaintext. This occurs because the packets are encapsulated (using Geneve or VXLAN) but bypass the IPsec encryption layer. Impacted Users: users with dual-stack clusters and IPsec encryption enabled. Single-stack IPv4 or IPv6 clusters are not affected. This vulnerability is fixed in 2.4.5 and 2.5.2.
📍 영향받는 시스템
Antrea < 2.4.5, < 2.5.2 (듀얼스택 + trafficEncryptionMode: ipsec 설정 환경)
⚔️ 공격 벡터
네트워크 스니핑 또는 중간자 공격을 통해 IPv6 Pod-to-Pod 통신을 평문으로 도청 및 조작 가능
🛡️ 대응 방법
Antrea를 2.4.5 또는 2.5.2 이상으로 업그레이드
🔧 검증 코드
현재 설치된 Antrea 이미지 버전을 확인하여 2.4.5 이상 또는 2.5.2 이상인지 검증
kubectl get daemonset antrea-agent -n kube-system -o jsonpath='{.spec.template.spec.containers[0].image}' | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+'