🇰🇷 한글 설명
Kite Kubernetes 대시보드 0.12.3 미만 버전에서 발생하는 권한 우회 취약점입니다. 인증된 사용자가 특정 클러스터 이름을 요청에 포함할 경우, RBAC 미들웨어를 거치지 않고 권한이 없는 클러스터의 인벤토리 및 용량 데이터를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 자신이 접근할 권한이 없는 다른 클러스터의 정보까지 몰래 볼 수 있는 보안 결함입니다. 대시보드가 권한을 확인하기 전에 정보를 먼저 보여주기 때문에 발생합니다.
🇺🇸 원문 (English)
Kite is a Kubernetes dashboard. Prior to version 0.12.3, authenticated Kite users with any role can request `/api/v1/overview` for a cluster that their roles do not permit by selecting that cluster with `x-cluster-name`. The overview route is registered before `middleware.RBACMiddleware()` and `GetOverview` only checks `len(user.Roles) > 0`, so it returns aggregate Kubernetes inventory and capacity data from unauthorized clusters. Version 0.12.3 fixes the issue.
📍 영향받는 시스템
Kite Kubernetes dashboard version < 0.12.3
⚔️ 공격 벡터
인증된 사용자가 HTTP 요청 헤더의 x-cluster-name을 조작하여 `/api/v1/overview` 경로로 접근
🛡️ 대응 방법
Kite 대시보드를 0.12.3 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 0.12.3 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<kite-dashboard-url>/version | grep -E '0\.[0-1][0-2]\.[0-2]'