🇰🇷 한글 설명
Strimzi 1.0.0 및 이전 버전에서 Kafka 커스텀 리소스를 생성할 수 있는 공격자가 watchedNamespace를 타겟 네임스페이스로 설정하여 권한 상승을 유도할 수 있습니다. 이를 통해 공격자는 Cluster Operator가 생성한 Role을 악용하여 타겟 네임스페이스의 Secret에 대한 읽기 및 쓰기 권한을 획득할 수 있습니다.
💡 쉬운 설명
공격자가 설정값을 조작하여 관리자 권한을 가로채는 보안 취약점입니다. 이를 통해 공격자는 다른 사용자의 중요한 비밀번호나 인증 정보를 몰래 읽거나 수정할 수 있습니다.
🇺🇸 원문 (English)
Strimzi provides a way to run an Apache Kafka cluster on Kubernetes or OpenShift in various deployment configurations. In Strimzi 1.0.0 and earlier, an attacker who can create a Kafka custom resource can set Kafka.spec.entityOperator watchedNamespace to a target namespace, causing the Cluster Operator to create a Role with full Secret CRUD permissions there and bind it to the Entity Operator ServiceAccount in the attacker's namespace. The attacker can mint a token for that ServiceAccount and read or write Secrets in any target namespace where the Cluster Operator has been granted permissions, regardless of STRIMZI_NAMESPACE. This issue is fixed in versions 1.0.1 and 1.1.0.
📍 영향받는 시스템
Strimzi 1.0.0 및 그 이전 버전
⚔️ 공격 벡터
Kafka 커스텀 리소스의 Kafka.spec.entityOperator.watchedNamespace 설정을 조작하여 권한 탈취
🛡️ 대응 방법
Strimzi 버전을 1.0.1 또는 1.1.0 이상으로 업데이트
🔧 검증 코드
출력된 Strimzi의 버전이 1.0.0 이하인지 확인하여 취약 여부를 판단합니다.
helm list -A | grep strimzi | awk '{print $4}'