🇰🇷 한글 설명
Kubeflow Community Distribution의 26.03-rc.1 미만 버전에서 Kubeflow UI 또는 API를 사용하는 사용자의 인증 토큰을 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 탈취한 토큰을 사용하여 해당 사용자의 계정을 장악하고 처리 중인 데이터에 접근할 수 있습니다. 이 공격은 자동 프로필 생성 기능이 활성화되어 있고 특정 권한을 가진 사용자가 존재할 때 발생할 수 있습니다.
💡 쉬운 설명
로그인 정보를 담고 있는 디지털 열쇠를 몰래 훔쳐가는 보안 결함입니다. 이 열쇠를 얻은 해커는 사용자인 척하며 중요한 데이터와 계정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Kubeflow Community Distribution helps users to install Kubeflow Platform in popular Kubernetes clusters. Prior to version 26.03-rc.1, a Kubeflow setup based on the official manifests or most other packaged Kubeflow distributions is vulnerable to authorization token stealing from any user of the Kubeflow UI or APIs, such as the Dashboard, Pipelines API, or Notebooks. With this token, the attacker can take over the user's account and the data that is processed by that user. The attacker needs a valid user with the ``kubeflow-edit`` role / Contributor role in a random Kubeflow namespace to perform this attack. This is given if _Automatic Profile Creation_ is enabled. Version 26.03-rc.1 fixes the issue.
📍 영향받는 시스템
Kubeflow Community Distribution version 26.03-rc.1 미만 버전
⚔️ 공격 벡터
Kubeflow UI 또는 API(Dashboard, Pipelines, Notebooks 등)를 통한 인증 토큰 탈취
🛡️ 대응 방법
Kubeflow를 버전 26.03-rc.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 26.03-rc.1 미만의 버전이 포함되어 있다면 취약한 상태입니다.
kubectl get deployment -n kubeflow -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -E 'kubeflow/kubeflow:[0-9]*\.03-rc\.[0-9]*'