🇰🇷 한글 설명
Volcano v1.14.2, v1.13.3, v1.12.4 이전 버전의 webhook 서버가 HTTP 요청 본문 크기 제한을 강제하지 않으므로, 클러스터 내 pod이 임의로 큰 요청을 보낼 수 있습니다. 이는 webhook 서버의 메모리 부족(OOM)으로 인한 강제 종료를 초래할 수 있습니다. 웹훅 서버가 클러스터 내 트래픽에 노출된 모든 Volcano 배포가 영향을 받습니다.
💡 쉬운 설명
Volcano라는 쿠버네티스 시스템의 일부가 매우 큰 데이터 요청을 받으면 메모리를 모두 사용하여 동작을 멈출 수 있습니다. 같은 네트워크의 악의적인 사용자가 큰 요청을 보내면 시스템이 고장날 수 있습니다.
🇺🇸 원문 (English)
Volcano is a Kubernetes-native batch scheduling system. Prior to v1.14.2, v1.13.3, and v1.12.4, the Volcano webhook server does not enforce a size limit on incoming HTTP request bodies. Any in-cluster pod that can reach the webhook endpoint may send an arbitrarily large request body, potentially causing the webhook server to be killed by OOM. All Volcano deployments with the webhook server exposed to in-cluster traffic are affected. This vulnerability is fixed in v1.14.2, v1.13.3, and v1.12.4.
📍 영향받는 시스템
Volcano v1.12.0~v1.12.3, v1.13.0~v1.13.2, v1.14.0~v1.14.1 (webhook 서버 배포 환경)
⚔️ 공격 벡터
클러스터 내부에서 webhook 엔드포인트(/webhook/pods, /webhook/queues 등)로 크기 제한이 없는 대용량 HTTP 요청 본문 전송
🛡️ 대응 방법
Volcano를 v1.14.2, v1.13.3 또는 v1.12.4 이상으로 업그레이드
🔧 검증 코드
helm 출력에서 버전이 v1.12.4, v1.13.3, v1.14.2 이상이면 SAFE (패치됨), 그 이하면 VULNERABLE (취약함)
helm list -n volcano-system 2>/dev/null | awk 'NR>1 {print $9}' | grep -E '^(1\.(12\.[4-9]|13\.[3-9]|14\.[2-9])|1\.1[5-9]\.|[2-9]\.)' && echo 'SAFE' || echo 'VULNERABLE'