🇰🇷 한글 설명
Calico의 Azure IPAM 플러그인 사용 시 CNI 로그에 서비스 계정 토큰 및 인증 정보가 평문으로 기록됩니다. 노드의 로그 파일 읽기 권한이 있는 공격자는 이를 통해 클러스터 전체의 네트워킹 관리 권한을 탈취할 수 있습니다.
💡 쉬운 설명
네트워크 설정 로그에 비밀번호와 같은 중요한 인증 정보가 그대로 저장되는 문제입니다. 로그를 볼 수 있는 사람은 해당 정보를 이용해 시스템 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
When Calico is configured with the Azure IPAM plugin, the Calico CNI binary mutates the incoming CNI configuration to attach subnet information before delegating to the IPAM plugin. After mutating, the Azure IPAM helper logs the entire unmarshaled configuration map (stdinData) at INFO level to /var/log/calico/cni/cni.log on every CNI ADD and DEL invocation — once per pod scheduled or terminated on the node. When the cluster is deployed using token-based Kubernetes authentication, this log entry contains the ServiceAccount token, client key, and certificate authority in plaintext. Any principal with read access to /var/log/calico/cni/cni.log on a node can read these logs and extract the credentials, which grant cluster-wide Calico networking admin privileges.
📍 영향받는 시스템
Calico with Azure IPAM plugin
⚔️ 공격 벡터
노드의 /var/log/calico/cni/cni.log 파일 읽기
🛡️ 대응 방법
Calico 구성에서 Azure IPAM 사용 시 민감한 인증 정보가 로그에 남지 않도록 구성을 수정하거나 로깅 레벨을 조정해야 합니다.
🔧 검증 코드
명령어 실행 시 ServiceAccount token이나 certificate authority와 같은 민감한 데이터가 평문으로 출력되면 취약점이 존재합니다.
grep -r 'stdinData' /var/log/calico/cni/cni.log 2>/dev/null | head -n 1