🇰🇷 한글 설명
Kubernetes용 Capsule 프레임워크의 0.13.0부터 0.13.7 버전 사이에서 Tenant 업데이트 검증 로직에 오류가 발견되었습니다. 관리자가 Tenant를 업데이트할 때 잘못된 정규식(ForbiddenAnnotations.Regex)을 저장할 수 있으며, 이후 네임스페이스 작업 시 regexp.MustCompile 함수가 패닉을 일으켜 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
설정값 검사 과정에서 실수로 잘못된 규칙이 저장될 수 있는 보안 결함입니다. 이 규칙이 나중에 실행될 때 시스템이 갑자기 멈춰버려 네임스페이스를 만들거나 수정할 수 없게 됩니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. From 0.13.0 until 0.13.7, the Tenant update validation in internal/webhook/tenant/validation/forbidden_annotations_regex.go compiles ForbiddenLabels.Regex for both the labels and annotations checks instead of validating ForbiddenAnnotations.Regex. An administrator who can update a Tenant can therefore persist a malformed ForbiddenAnnotations.Regex while leaving the labels expression valid. Namespace creation or update later passes the stored expression through pkg/api/forbidden_list.go, where regexp.MustCompile can panic during forbidden metadata validation and deny namespace operations for the affected tenant. This issue is fixed in version 0.13.7.
📍 영향받는 시스템
Capsule framework versions 0.13.0 to 0.13.7
⚔️ 공격 벡터
Tenant 업데이트 권한을 가진 사용자가 유효하지 않은 정규식 패턴을 포함하여 Tenant 설정을 변경함
🛡️ 대응 방법
Capsule 버전을 0.13.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Capsule의 버전이 0.13.7 미만인지 확인하십시오.
helm list -A | grep capsule | awk '{print $2}'