🇰🇷 한글 설명
External Secrets Operator의 Namespaced SecretStore가 CAProvider의 namespace 설정을 사용할 때, 다른 namespace의 CA 자료에 접근 가능하여 namespace 경계가 우회되는 취약점입니다. 공격자는 같은 클러스터 내 다른 namespace의 인증서 자료를 획득할 수 있습니다. 2.4.0에서 수정되었습니다.
💡 쉬운 설명
Kubernetes 클러스터의 보안 정보 관리 도구가 다른 팀의 보안 영역에서 인증서를 몰래 가져올 수 있는 결함입니다. 클러스터 내 서로 다른 팀/서비스의 중요한 보안 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Prior to 2.4.0, Namespaced SecretStore resources that used CAProvider with type ConfigMap could resolve CA material from another namespace when caProvider.namespace was set. This bypassed the namespace boundary enforced for SecretStore-backed references in providers that rely on the shared runtime CA resolver. This vulnerability is fixed in 2.4.0.
📍 영향받는 시스템
External Secrets Operator 버전 2.4.0 미만
⚔️ 공격 벡터
Kubernetes 클러스터 내에서 caProvider.namespace 설정을 조작하여 다른 namespace의 ConfigMap 타입 CA 자료에 접근
🛡️ 대응 방법
External Secrets Operator를 2.4.0 이상으로 즉시 업그레이드
🔧 검증 코드
이미지 태그에서 버전을 추출하여 2.4.0 이상인지 확인합니다. 버전이 2.4.0 미만이면 취약점이 있습니다.
kubectl get deployment -n external-secrets-system external-secrets -o jsonpath='{.spec.template.spec.containers[0].image}' 2>/dev/null | grep -oE 'v[0-9]\.[0-9]\.[0-9]'