🇰🇷 한글 설명
Kubewarden의 can_i 호스트 콜백이 컨텍스트 인식 허용 목록 검증을 우회하여, 권한 있는 공격자가 SubjectAccessReview를 통해 클러스터 전체의 RBAC 권한을 열거할 수 있는 정보 공개 취약점입니다. 정책 서버 권한으로 실행되는 이 콜백은 모든 사용자와 서비스 계정의 권한 정보(시크릿 접근, Pod 생성, ClusterRole 바인딩 등)를 노출시킵니다.
💡 쉬운 설명
Kubernetes 정책 관리 도구(Kubewarden)에서 관리자 권한을 가진 공격자가 시스템의 권한 구조를 몰래 조회할 수 있습니다. 직접적인 데이터 유출은 아니지만 추후 더 큰 공격을 위한 정보 수집에 악용될 수 있습니다.
🇺🇸 원문 (English)
Kubewarden is a policy engine for Kubernetes. Prior to , An attacker with privileged AdmissionPolicy or AdmissionPolicyGroup create permissions (which isn't the default) can craft a policy that makes use of the can_i host callback. The callback issues a SubjectAccessReview (SAR) requests to enumerate RBAC permissions of any user or service account across the cluster. can_i does not perform that check to enforce the context-aware allow-list and forwards the request directly to the callback handler, which executes a real SubjectAccessReview using policy-server privileges. This creates a policy-level authorization gap: can_i is effectively usable even when the policy has no context-aware resource grant. This is an information disclosure / reconnaissance issue, and not direct workload data exfiltration. The attacker learns permission information, such as whether specific service accounts can "get secrets", "create pods", or "bind clusterroles" in chosen namespaces. This vulnerability is fixed in .
📍 영향받는 시스템
Kubewarden 모든 버전 (패치 버전은 공식 릴리스 노트 확인 필요)
⚔️ 공격 벡터
AdmissionPolicy/AdmissionPolicyGroup 생성 권한 보유 공격자가 can_i 콜백으로 SubjectAccessReview 남용하여 RBAC 권한 정보 열거
🛡️ 대응 방법
Kubewarden을 최신 패치 버전으로 업그레이드하고 AdmissionPolicy 생성 권한을 최소 필요 인원으로 제한
🔧 검증 코드
Kubewarden 설치 상태 및 버전 확인, kubewarden 관련 ClusterRole 권한 목록 검토하여 과도한 권한 부여 여부 확인
helm list -A 2>/dev/null | grep kubewarden && kubectl get clusterrole | grep kubewarden