🇰🇷 한글 설명
Kuma 서비스 메쉬에서 kumactl 프로필을 통해 HTTPS 제어 평면을 수동으로 설정할 때, --ca-cert-file 옵션을 사용하지 않으면 TLS 피어 검증이 비활성화됩니다. 이로 인해 API 토큰이 검증되지 않은 연결을 통해 전송되어 네트워크 경로상의 공격자가 토큰을 가로채고 제어 평면에 대한 권한을 탈취할 수 있습니다.
💡 쉬운 설명
보안 인증서를 제대로 확인하지 않고 통신하는 설정 오류로 인해, 해커가 중간에서 사용자의 비밀번호와 같은 중요한 정보를 훔쳐볼 수 있는 문제입니다. 이를 통해 해커가 관리자 권한을 얻어 시스템을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Kuma is a modern Envoy-based service mesh that can run on every cloud across both Kubernetes and VMs. Prior to 2.7.26, 2.9.16, 2.11.14, 2.12.11, and 2.13.7, a kumactl profile manually configured for an HTTPS control plane without --ca-cert-file disables TLS peer verification and sends API tokens over the unverified connection. An attacker on the network path can intercept user or administrator API tokens and act against the control plane as the compromised user. The default local profile is unaffected because it uses plain HTTP. This issue is fixed in versions 2.7.26, 2.9.16, 2.11.14, 2.12.11, and 2.13.7.
📍 영향받는 시스템
Kuma versions prior to 2.7.26, 2.9.16, 2.11.14, 2.12.11, and 2.13.7
⚔️ 공격 벡터
네트워크 경로 상에서 중간자 공격(Man-in-the-Middle)을 통해 검증되지 않은 HTTPS 연결을 가로채 API 토큰 탈취
🛡️ 대응 방법
Kuma를 수정된 버전(2.7.26, 2.9.16, 2.11.14, 2.12.11, 2.13.7 이상)으로 업데이트하거나 kumactl 설정 시 --ca-cert-file 옵션을 반드시 사용
🔧 검증 코드
명령어 결과에 수정된 버전 번호가 나타나면 안전하며, 나타나지 않으면 취약한 버전이므로 업데이트가 필요합니다.
kumactl version | grep -E '2.7.26|2.9.16|2.11.14|2.12.11|2.13.7'