🇰🇷 한글 설명
Fleet의 Helm deployer가 ServiceAccount impersonation을 두 코드 경로에서 불완전하게 적용하여 권한 상승 취약점이 발생했습니다. git push 접근 권한이 있는 테넌트가 Fleet-monitored 저장소를 통해 모든 downstream cluster의 모든 네임스페이스에서 시크릿을 탈취할 수 있습니다.
💡 쉬운 설명
Fleet 배포 도구의 접근 제어 검사가 일부 코드에서 누락되었습니다. 코드 push 권한만 있어도 다른 팀의 비밀번호와 API 키를 모두 읽을 수 있게 됩니다.
🇺🇸 원문 (English)
Fleet's Helm deployer did not fully apply ServiceAccount impersonation in two code paths, allowing a tenant with git push access to a Fleet-monitored repository to read secrets from any namespace on every downstream cluster targeted by their `GitRepo`.
📍 영향받는 시스템
Fleet Helm deployer (공식 보안 공지에서 영향받는 버전 범위 확인 필요)
⚔️ 공격 벡터
테넌트가 Fleet-monitored Git 저장소에 코드를 push하여 GitRepo 설정을 악용해 모든 downstream cluster 네임스페이스의 secrets 접근
🛡️ 대응 방법
Fleet을 최신 패치 버전으로 업그레이드하여 ServiceAccount impersonation을 모든 코드 경로에서 올바르게 적용
🔧 검증 코드
Fleet 에이전트의 현재 버전을 확인하여 보안 패치가 적용되었는지 검증합니다.
kubectl get deployment -n fleet-system -o jsonpath='{.items[*].spec.template.spec.containers[0].image}' | grep -oE 'fleet:[v]?[0-9]+\.[0-9]+\.[0-9]+'