🇰🇷 한글 설명
Woodpecker CI/CD 엔진의 1.0.0부터 3.16.0 버전 사이에서 발생하는 취약점입니다. 연결된 저장소에 Push 권한이 있는 사용자가 임의의 ServiceAccount를 지정하여 파드(Pod)를 실행함으로써, 해당 계정의 RBAC 권한을 탈취하고 클러스터를 장악할 수 있습니다.
💡 쉬운 설명
코드 수정 권한이 있는 사람이 CI/CD 도구를 이용해 관리자 권한을 가진 가짜 명령을 내릴 수 있는 문제입니다. 이를 통해 데이터베이스 비밀번호나 API 키 같은 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Woodpecker is a CI/CD engine. From 1.0.0 until 3.16.0, pipeline/backend/kubernetes/backend_options.go defines backend_options.kubernetes.serviceAccountName, and the Kubernetes backend in pipeline/backend/kubernetes/pod.go copies that pipeline-step value directly into the pod specification without administrator authorization. Any user with Push permission on a connected repository can therefore run pipeline pods under an arbitrary ServiceAccount in the pipeline namespace and inherit that account's RBAC permissions. When a privileged ServiceAccount is reachable, the attacker can exfiltrate secrets such as database credentials, API keys, and TLS certificates and may take over the cluster. This issue is fixed in version 3.16.0.
📍 영향받는 시스템
Woodpecker CI/CD (버전 1.0.0 ~ 3.16.0 미만)
⚔️ 공격 벡터
저장소에 Push 권한이 있는 사용자가 파이프라인 설정 내 serviceAccountName을 임의로 조작하여 실행
🛡️ 대응 방법
Woodpecker를 최신 버전인 3.16.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.16.0 미만인 경우 해당 취약점에 노출된 상태입니다.
woodpecker --version 2>/dev/null || echo 'Check installed version manually'