🇰🇷 한글 설명
Omni의 특정 버전에서 독립형 Talos 클러스터를 가져올 때 클러스터의 전체 CA 비밀 정보가 포함된 ImportedClusterSecrets 리소스가 생성됩니다. Reader 권한을 가진 인증된 사용자가 적절한 접근 제어 미비로 인해 이 리소스를 조회할 수 있으며, 이를 통해 Kubernetes, Talos, etcd의 CA 개인 키 및 서비스 계정 키가 노출될 수 있습니다. 이 취약점은 클러스터에 대한 완전한 제어권을 탈취할 수 있게 합니다.
💡 쉬운 설명
권한이 낮은 사용자가 클러스터를 관리하는 데 필요한 핵심 비밀번호와 열쇠를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이 열쇠를 손에 넣으면 공격자가 관리자 권한을 얻어 클러스터 전체를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Omni manages Kubernetes on bare metal, virtual machines, or in a cloud. From 1.3.0 until 1.6.6 and 1.7.3, importing a standalone Talos cluster creates an ImportedClusterSecrets resource containing the cluster's complete CA secrets bundle. The access rules in internal/backend/runtime/omni/state_access.go allow an authenticated user with the Reader role to retrieve the resource through ResourceService if the importing actor has not rotated those secrets, exposing Kubernetes, Talos, and etcd CA private keys plus the service-account key. The Kubernetes CA private key permits certificate signing for privileged identities such as system:masters and provides control of the imported cluster outside Omni's authorization boundary, including its workloads, credentials, and secrets. This issue is fixed in versions 1.6.6 and 1.7.3.
📍 영향받는 시스템
Omni 1.3.0 ~ 1.6.6 및 1.7.3 버전
⚔️ 공격 벡터
Reader 권한을 가진 인증된 사용자가 ResourceService를 통해 ImportedClusterSecrets 리소스를 요청하여 탈취
🛡️ 대응 방법
Omni를 최신 패치 버전인 1.6.6 또는 1.7.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.3.0~1.6.6 또는 1.7.3 범위에 해당하면 취약한 상태입니다.
omni --version 2>/dev/null | grep -E '1(\.([0-9]+)){2,3}'