🇰🇷 한글 설명
Fleet의 에이전트 측 배포기에서 fleet.yaml의 namespaceLabels에 포함된 보안 민감 키를 필터링하지 못하는 취약점이 발견되었습니다. 공격자가 Git Push 권한을 가질 경우 대상 네임스페이스의 Pod 보안 표준(PSS) 강제 적용 라벨을 덮어쓸 수 있습니다. 이를 통해 보안 정책을 약화시키고 차단되었어야 할 워크로드를 배포할 수 있습니다.
💡 쉬운 설명
관리자가 설정한 보안 규칙을 해커가 몰래 수정하여 보안 검사를 무력화할 수 있는 문제입니다. 해커가 권한이 있는 저장소에 파일을 올리면, 시스템의 보안 방어막을 낮추고 위험한 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified in Fleet's agent-side deployer, which did not filter security-sensitive keys from namespaceLabels in fleet.yaml (or BundleDeployment.spec.options.namespaceLabels) when applying them to the target namespace.
An attacker with git push access to a
Fleet-monitored repository could overwrite Pod Security Standards (PSS)
enforcement labels on a target namespace. This allows the attacker to
weaken admission controls and deploy workloads that PSS policies would
otherwise block.
📍 영향받는 시스템
Fleet agent-side deployer (fleet.yaml 또는 BundleDeployment.spec.options.namespaceLabels 사용 환경)
⚔️ 공격 벡터
Fleet이 모니터링하는 저장소에 대한 Git Push 권한을 이용한 namespaceLabels 조작
🛡️ 대응 방법
Fleet 에이전트를 최신 보안 패치 버전으로 업데이트하고, 저장소에 대한 Git Push 권한 관리를 강화하십시오.
🔧 검증 코드
출력된 결과에서 보안 관련 라벨(PSS 등)이 의도치 않게 포함되거나 수정 가능한지 확인하십시오.
kubectl get bundledeployments -A -o json | grep -E 'namespaceLabels'