🇰🇷 한글 설명
Logging operator의 FluentRender 구성 요소에서 CRD 문자열을 이스케이프 처리 없이 직접 작성하는 취약점이 발견되었습니다. 이를 통해 Flow 리소스를 생성할 수 있는 사용자가 Fluentd <match> 블록을 주입하여 Fluentd 애그리게이터 내부에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
로그 설정 도구의 허점을 이용해 공격자가 시스템에 몰래 명령어를 입력할 수 있는 보안 구멍이 발견되었습니다. 공격자가 권한을 얻으면 서버를 마음대로 조종할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Logging operator automates the deployment and configuration of Kubernetes logging pipelines. Prior to 6.6.0, the Fluentd configuration renderer FluentRender in pkg/sdk/logging/model/render/fluent.go writes CRD strings such as Flow record_transformer.records values directly into fluent.conf without escaping, allowing a user who can create Flow resources to inject a Fluentd <match **> block using @type exec and execute arbitrary commands inside the Fluentd aggregator. This issue is fixed in version 6.6.0.
📍 영향받는 시스템
Logging operator 6.6.0 미만 버전
⚔️ 공격 벡터
Flow 리소스 생성을 통한 Fluentd 설정 파일 내 악성 <match> 블록 주입
🛡️ 대응 방법
Logging operator를 6.6.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 logging-operator의 버전을 확인하여 6.6.0 미만인지 체크합니다.
helm list -A | grep logging-operator