🇰🇷 한글 설명
Kyverno의 apiCall 기능이 외부 HTTP 요청 시 Admission Controller의 ServiceAccount 토큰을 자동으로 첨부하는 취약점입니다. 서비스 URL에 대한 검증이 없어 공격자가 제어하는 서버로 토큰이 유출될 수 있으며, 이는 클러스터 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
Kyverno라는 프로그램이 외부 사이트에 정보를 보낼 때, 관리자 열쇠(토큰)를 실수로 함께 보내버리는 보안 구멍이 발견되었습니다. 해커가 만든 가짜 사이트로 이 열쇠가 전달되면 해커가 전체 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Kyverno is a policy engine designed for cloud native platform engineering teams. Prior to versions 1.18.0-rc1, 1.17.2-rc1, and 1.16.4, Kyverno's apiCall feature in ClusterPolicy automatically attaches the admission controller's ServiceAccount token to outgoing HTTP requests. The service URL has no validation — it can point anywhere, including attacker-controlled servers. Since the admission controller SA has permissions to patch webhook configurations, a stolen token leads to full cluster compromise. Versions 1.18.0-rc1, 1.17.2-rc1, and 1.16.4 patch the issue.
📍 영향받는 시스템
Kyverno versions prior to 1.18.0-rc1, 1.17.2-rc1, and 1.16.4
⚔️ 공격 벡터
조작된 URL을 포함한 ClusterPolicy를 통해 Admission Controller의 ServiceAccount 토큰을 외부 서버로 탈취
🛡️ 대응 방법
Kyverno를 1.18.0-rc1, 1.17.2-rc1 또는 1.16.4 이상의 버전으로 업데이트
🔧 검증 코드
출력된 Kyverno 버전이 취약점이 해결된 버전(1.18.0-rc1, 1.17.2-rc1, 1.16.4 이상)인지 확인
kyverno version | grep -E 'Kyverno version'