🇰🇷 한글 설명
Fulcio 1.8.5 이하 버전에서 OIDC 디스커버리 과정 중 교차 호스트 리다이렉트를 부적절하게 처리하여 Kubernetes ServiceAccount 토큰이 외부로 유출될 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 Blind SSRF를 수행하거나 악성 JWKS 키를 캐싱하여 인증 체계를 무력화할 수 있습니다.
💡 쉬운 설명
인증서를 발급하는 프로그램이 잘못된 주소로 연결될 때 중요한 보안 열쇠(토큰)를 엉뚱한 곳에 전달할 수 있는 문제입니다. 해커가 이 열쇠를 가로채거나 가짜 인증 정보를 심어 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Fulcio is a certificate authority for issuing code signing certificates for an OpenID Connect (OIDC) identity. Versions through 1.8.5 improperly follow cross-host redirects and attach Kubernetes ServiceAccount tokens during OIDC discovery, allowing a malicious or compromised issuer to perform blind SSRF, substitute and cache malicious JWKS keys, or disclose ServiceAccount tokens to external hosts. Version 1.8.6 blocks cross-host redirects, restricts token injection, and restricts local token loading. No known workarounds are available.
📍 영향받는 시스템
Fulcio versions up to 1.8.5
⚔️ 공격 벡터
악의적인 발행자(Issuer)가 설정한 교차 호스트 리다이렉트를 이용한 토큰 탈취 및 SSRF 공격
🛡️ 대응 방법
Fulcio를 보안 패치가 적용된 1.8.6 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.8.6 미만(예: 1.8.5 이하)이면 취약한 상태입니다.
fulcio --version 2>/dev/null || echo 'Version not found'