🇰🇷 한글 설명
vault-secrets-webhook의 parseVaultConfig() 함수가 특정 어노테이션을 처리하는 과정에서 보안 취약점이 발견되었습니다. 공격자가 제어하는 Vault 주소로 ServiceAccount JWT가 전송될 수 있어 인증 정보 탈취 위험이 있습니다. 이 문제는 버전 1.23.1에서 수정되었습니다.
💡 쉬운 설명
해커가 만든 가짜 주소로 시스템의 중요한 비밀번호(토큰)가 몰래 전송될 수 있는 보안 구멍이 발견되었습니다. 이로 인해 해커가 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
vault-secrets-webhook is a Kubernetes mutating webhook that makes direct secret injection into Pods possible. Prior to 1.23.1, parseVaultConfig() in pkg/webhook/config.go accepts the vault.security.banzaicloud.io/vault-addr annotation, MutateConfigMap and MutateSecret call newVaultClient in pkg/webhook/webhook.go, and vault.security.banzaicloud.io/vault-serviceaccount can cause a ServiceAccount JWT to be sent to an attacker-controlled Vault address. This issue is fixed in version 1.23.1.
📍 영향받는 시스템
vault-secrets-webhook version < 1.23.1
⚔️ 공격 벡터
조작된 vault-addr 어노테이션을 통해 ServiceAccount JWT를 공격자의 Vault 서버로 유도하여 탈취
🛡️ 대응 방법
vault-secrets-webhook를 버전 1.23.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.23.1 미만인 경우 취약한 상태입니다.
helm list -A | grep vault-secrets-webhook | awk '{print $2}' && helm list -A | grep vault-secrets-webhook | awk '{print $4}'