🇰🇷 한글 설명
Kubernetes용 Capsule 프레임워크 0.13.7 미만 버전에서 금지 목록의 메타데이터 키 정렬 방식 오류로 인해 보안 검사를 우회할 수 있는 취약점이 발견되었습니다. 대소문자가 혼합된 키를 사용할 경우 이진 탐색 알고리즘이 키를 제대로 찾지 못해, 인증된 테넌트 소유자가 설정된 네임스페이스나 서비스 등의 제한 사항을 우회할 수 있습니다.
💡 쉬운 설명
금지된 단어 목록을 확인하는 과정에서 대소문자 처리 방식의 실수로 인해, 금지된 단어를 입력해도 시스템이 이를 찾아내지 못하고 통과시켜 버리는 문제입니다. 이를 통해 사용자는 허용되지 않은 권한을 얻거나 보안 규칙을 어길 수 있습니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. Prior to 0.13.7, ForbiddenListSpec.ExactMatch in pkg/api/forbidden_list.go sorts denied metadata keys case-insensitively and then uses sort.SearchStrings, which assumes byte-order sorting. When an administrator's forbidden list mixes capitalized and lowercase keys or otherwise has different case-insensitive and byte ordering, the binary search can return false for a key that is present. An authenticated tenant owner can then pass the missed key through api.ValidateForbidden and bypass configured namespace, Service, or delegated node metadata restrictions, potentially influencing cluster policies, network exposure, or scheduling outside the tenant boundary. Uniformly lowercase lists whose two orderings coincide are not affected. This issue is fixed in version 0.13.7.
📍 영향받는 시스템
Capsule framework versions prior to 0.13.7
⚔️ 공격 벡터
인증된 테넌트 소유자가 대소문자가 혼합된 메타데이터 키를 사용하여 금지된 정책 검사를 우회함
🛡️ 대응 방법
Capsule 프레임워크를 0.13.7 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Capsule의 버전이 0.13.7 미만인지 확인하십시오.
helm list -A | grep capsule | awk '{print $4}'