🇰🇷 한글 설명
Cilium 1.19.0에서 1.19.4 버전 사이에서 특정 설정 시 Kubernetes NetworkPolicy의 CIDR 기반 ipBlock 규칙이 잘못 처리되는 취약점이 발견되었습니다. 커스텀 clusterName을 사용할 경우 파서 오류로 인해 와일드카드 네임스페이스 허용 규칙이 생성되어, 정책 대상과 동일한 네임스페이스 내의 다른 워크로드로부터의 트래픽을 허용하게 됩니다.
💡 쉬운 설명
네트워크 보안 규칙을 설정할 때 특정 IP 범위만 허용하려 했으나, 설정 오류로 인해 같은 공간에 있는 다른 프로그램들의 접근까지 허용되는 보안 구멍이 생겼습니다. 이로 인해 의도치 않은 내부 통신이 허용될 수 있습니다.
🇺🇸 원문 (English)
Cilium is a networking, observability, and security solution. From 1.19.0 to 1.19.4, standard Kubernetes NetworkPolicy specifications using CIDR-based ipBlock rules without pod or namespace selectors erroneously generate a wildcard namespace allow rule when Cilium is configured with a custom clusterName rather than the default any value. The parser incorrectly instantiates a pod selector on selectorless peer definitions, allowing traffic from other workloads in the same namespace as the subject of the policy. This issue is fixed in version 1.19.5.
📍 영향받는 시스템
Cilium version 1.19.0 to 1.19.4
⚔️ 공격 벡터
동일한 네임스페이스 내에 있는 다른 워크로드가 정책에 의해 차단되어야 할 트래픽을 우회하여 접근
🛡️ 대응 방법
Cilium 버전을 1.19.5 이상으로 업데이트
🔧 검증 코드
출력된 Cilium 버전이 v1.19.0에서 v1.19.4 사이라면 취약한 버전이 설치된 것입니다.
cilium version | grep -E 'v1.19\[0-4\]'