🇰🇷 한글 설명
Strimzi 1.0.0 및 이전 버전에서 Topic Operator 또는 User Operator 중 하나만 배포할 경우, Entity Operator의 ServiceAccount가 두 구성 요소 모두에 대한 RBAC 권한을 과도하게 보유하게 됩니다. 이로 인해 특정 운영자가 부재할 때 KafkaUser/Secrets 또는 KafkaTopic 커스텀 리소스에 대한 권한 오남용이 발생할 수 있습니다.
💡 쉬운 설명
특정 기능을 하나만 설치했는데도 시스템이 필요 이상의 과도한 권한을 가지고 있는 보안 취약점입니다. 이로 인해 권한이 없는 사용자가 다른 설정 파일이나 비밀번호에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Strimzi provides a way to run an Apache Kafka cluster on Kubernetes or OpenShift in various deployment configurations. In Strimzi 1.0.0 and earlier, deploying only the Topic Operator or only the User Operator through the Kafka custom resource leaves the Entity Operator ServiceAccount with RBAC permissions for both components. The excess permissions can allow access to KafkaUser custom resources and Secrets when the User Operator is absent, or access to KafkaTopic custom resources when the Topic Operator is absent. This issue is fixed in versions 1.0.1 and 1.1.0.
📍 영향받는 시스템
Strimzi 1.0.0 및 그 이전 버전
⚔️ 공격 벡터
과도하게 부여된 RBAC 권한을 악용하여 설치되지 않은 구성 요소의 리소스(KafkaUser, KafkaTopic 등)에 접근
🛡️ 대응 방법
Strimzi를 1.0.1 또는 1.1.0 이상의 버전으로 업데이트
🔧 검증 코드
명령어 결과에 'strimzi/operator:1.0.0'과 같이 취약한 버전이 포함되어 있으면 해당 시스템은 위험합니다.
kubectl get deployment -n <namespace> -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -E 'strimzi/operator:1\.[0-0]'