🇰🇷 한글 설명
Tekton Pipelines의 git resolver에서 사용자가 token 파라미터를 생략하면 시스템 설정 Git API 토큰이 사용자 제어 serverURL로 전송됩니다. TaskRun 또는 PipelineRun 생성 권한이 있는 공격자가 serverURL을 악의적 엔드포인트로 지정하여 GitHub PAT, GitLab 토큰 등의 공유 API 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
Tekton에서 Git 토큰을 지정하지 않으면 저장된 중요한 토큰이 공격자가 만든 가짜 서버로 전송됩니다. 이를 통해 회사의 GitHub 또는 GitLab 접근 권한을 도용당할 수 있습니다.
🇺🇸 원문 (English)
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. Starting in version 1.0.0 and prior to versions 1.0.2, 1.3.4, 1.6.2, 1.9.3, and 1.11.1, the Tekton Pipelines git resolver in API mode sends the system-configured Git API token to a user-controlled serverURL when the user omits the token parameter. A tenant with TaskRun or PipelineRun create permission can exfiltrate the shared API token (GitHub PAT, GitLab token, etc.) by pointing serverURL to an attacker-controlled endpoint. Versions 1.0.2, 1.3.4, 1.6.2, 1.9.3, and 1.11.1 fix the issue.
📍 영향받는 시스템
Tekton Pipelines 1.0.0~1.11.0 (1.0.2, 1.3.4, 1.6.2, 1.9.3, 1.11.1 이전 버전)
⚔️ 공격 벡터
TaskRun/PipelineRun 생성 권한 보유자가 token 파라미터 생략 후 serverURL을 공격자 제어 엔드포인트로 지정하여 토큰 탈취
🛡️ 대응 방법
Tekton Pipelines를 1.0.2, 1.3.4, 1.6.2, 1.9.3, 1.11.1 이상으로 업그레이드
🔧 검증 코드
이미지 태그에서 버전을 추출하여 수정된 버전(1.0.2, 1.3.4, 1.6.2, 1.9.3, 1.11.1) 이상인지 확인
kubectl describe deployment tekton-pipelines-controller -n tekton-pipelines 2>/dev/null | grep -i image