🇰🇷 한글 설명
Kyverno의 forEach 변형 핸들러에서 체크되지 않은 타입 단언(type assertion)으로 인해 발생하는 취약점입니다. Policy 또는 ClusterPolicy를 생성할 수 있는 권한을 가진 사용자가 악의적인 정책을 생성하면 클러스터 전체의 백그라운드 컨트롤러가 지속적인 CrashLoopBackOff 상태에 빠지며, Admission Controller가 연결을 드롭하여 모든 관련 리소스 작업을 차단합니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 잘못된 규칙을 만들면 클러스터 관리 시스템이 계속해서 꺼졌다 켜졌다를 반복하며 멈춰버립니다. 이로 인해 새로운 설정을 변경하거나 리소스를 생성하는 모든 작업이 중단될 수 있습니다.
🇺🇸 원문 (English)
Kyverno is a policy engine designed for cloud native platform engineering teams. Prior to versions 1.17.2 and 1.16.4, an unchecked type assertion in the `forEach` mutation handler allows any user with permission to create a `Policy` or `ClusterPolicy` to crash the cluster-wide background controller into a persistent CrashLoopBackOff. The same bug also causes the admission controller to drop connections and block all matching resource operations. The crash loop persists until the policy is deleted. The vulnerability is confined to the legacy engine, and CEL-based policies are unaffected. Versions 1.17.2 and 1.16.4 fix the issue.
📍 영향받는 시스템
Kyverno versions prior to 1.17.2 and 1.16.4 (Legacy engine only)
⚔️ 공격 벡터
Policy 또는 ClusterPolicy를 생성할 수 있는 권한을 이용한 악의적인 forEach mutation 정책 주입
🛡️ 대응 방법
Kyverno를 1.17.2 또는 1.16.4 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.17.2 또는 1.16.4 이상의 버전이 표시되면 취약점이 해결된 상태입니다.
kyverno version | grep -E 'kyverno version: (1.17.2|1.16.4)'