🇰🇷 한글 설명
KubeEdge의 v1alpha2 NodeUpgradeJob 핸들러에서 인증된 사용자가 제어하는 spec.version 및 spec.image 값이 keadm 업그레이드 셸 명령에 결합되는 취약점이 발견되었습니다. 공격자가 셸 메타문자를 삽입할 경우 대상 에지 노드에서 임의의 명령을 실행할 수 있어 노드의 기밀성, 무결성 및 가용성이 침해될 수 있습니다.
💡 쉬운 설명
KubeEdge 시스템의 업데이트 설정값에 악성 명령어를 숨겨서 넣을 수 있는 보안 약점이 있습니다. 이를 통해 해커가 에지 장치에 몰래 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
KubeEdge is an open source system for extending native containerized application orchestration capabilities to hosts at Edge. From 1.12.0 until 1.21.2, 1.22.2, and 1.23.1, the v1alpha2 NodeUpgradeJob handler in edge/pkg/taskmanager/actions/nodeupgradejob.go concatenates authenticated user-controlled spec.version and spec.image values into the keadm upgrade edge shell command. A user with permission to create or update NodeUpgradeJob resources can supply shell metacharacters in either field, causing arbitrary commands to execute on targeted edge nodes with the privileges of the upgrade process and compromising node confidentiality, integrity, and availability. This issue is fixed in versions 1.21.2, 1.22.2, and 1.23.1.
📍 영향받는 시스템
KubeEdge 1.12.0 ~ 1.21.2, 1.22.2, 1.23.1
⚔️ 공격 벡터
NodeUpgradeJob 리소스를 생성하거나 업데이트할 때 spec.version 또는 spec.image 필드에 셸 메타문자 삽입
🛡️ 대응 방법
KubeEdge를 수정된 버전인 1.21.2, 1.22.2 또는 1.23.1 이상으로 업데이트
🔧 검증 코드
설치된 KubeEdge의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조합니다.
kubectl get pods -A | grep kubeedge && kubeadm version 2>/dev/null || echo 'Check KubeEdge version manually'