🇰🇷 한글 설명
Kubernetes용 멀티테넌시 프레임워크인 Capsule 0.13.0부터 0.13.6 버전에서 발생하는 취약점입니다. 검증 웹훅 설정 시 리소스 이름이 복수형(namespaces/finalize)이 아닌 단수형(namespace/finalize)으로 잘못 설정되어, 특정 권한을 가진 사용자가 웹훅을 우회하고 네임스페이스 테넌트 라벨을 변경할 수 있습니다.
💡 쉬운 설명
보안 검사관이 확인해야 할 이름이 잘못 적혀 있어서, 공격자가 검사관을 피해 몰래 설정값을 바꿀 수 있는 문제입니다. 이를 통해 사용자는 허용되지 않은 권한을 획득할 수 있습니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. From 0.13.0 until 0.13.6, charts/capsule/templates/configuration.yaml configures the validating webhook with namespace/finalize instead of the Kubernetes resource name namespaces/finalize. A user with namespaces/finalize RBAC can send a PUT request to /api/v1/namespaces/{namespace}/finalize, and the singular rule never matches the plural resource, so the validating webhook is not invoked and the user can change the namespace tenant label. matchPolicy: Equivalent does not compensate because it handles API group and version equivalence rather than resource-name errors. This vulnerability is fixed in 0.13.6.
📍 영향받는 시스템
Capsule 0.13.0 ~ 0.13.6
⚔️ 공격 벡터
namespaces/finalize RBAC 권한을 가진 사용자가 잘못된 엔드포인트(/api/v1/namespaces/{namespace}/finalize)로 PUT 요청을 보내 웹훅을 우회함
🛡️ 대응 방법
Capsule을 0.13.6 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Capsule의 버전이 0.13.6 미만인지 확인하십시오.
helm list -A | grep capsule