🇰🇷 한글 설명
External Secrets Operator 2.4.1 이전 버전에서 ExternalSecret 생성 권한만 있는 사용자가 임의의 서비스 계정의 장기 토큰이 포함된 Secret을 생성하도록 조작할 수 있습니다. 이를 통해 TokenRequest나 Secret 직접 생성 권한 없이도 네임스페이스 내 모든 서비스 계정을 도용할 수 있습니다.
💡 쉬운 설명
Kubernetes의 외부 비밀번호 관리 도구에서 제한된 권한의 사용자가 관리자 권한 계정을 도용할 수 있는 취약점입니다. 이로 인해 권한 없이 민감한 시스템 리소스에 접근할 수 있습니다.
🇺🇸 원문 (English)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Prior to 2.4.1, a user who only has permission to create ExternalSecret resources can cause the operator to create a Secret that Kubernetes will automatically populate with a long-lived token for the specified service account. This effectively allows the user to impersonate any service account in the namespace without needing direct create permissions on TokenRequest or Secrets of that type. This vulnerability is fixed in 2.4.1.
📍 영향받는 시스템
External Secrets Operator < 2.4.1
⚔️ 공격 벡터
ExternalSecret 생성 권한을 가진 사용자가 서비스 계정 토큰을 자동 주입하는 Secret을 생성하여 권한 상승 수행
🛡️ 대응 방법
External Secrets Operator를 2.4.1 이상으로 업그레이드하고 RBAC 권한 정책을 검토하여 ExternalSecret 생성 권한 제한
🔧 검증 코드
출력된 버전이 v2.4.1 이상이면 패치됨, 미만이면 즉시 업그레이드 필요
kubectl get deployment -n external-secrets-system external-secrets -o jsonpath='{.spec.template.spec.containers[0].image}' 2>/dev/null | grep -oP 'v[0-9]+\.[0-9]+\.[0-9]+'