🇰🇷 한글 설명
Kubernetes용 멀티테넌시 프레임워크인 Capsule의 0.13.0부터 0.13.8 버전 사이에서 발생한 취약점입니다. 특정 리소스 처리 과정에서 클러스터 범위 리소스에 대한 검증 로직이 누락되어, 테넌트 소유자가 ClusterRole과 같은 클러스터 전체 권한을 가진 리소스를 생성할 수 있습니다.
💡 쉬운 설명
사용자가 허용된 범위(자신의 방)를 벗어나 전체 시스템(건물 전체)을 제어할 수 있는 권한을 가질 수 있는 보안 결함입니다. 이를 통해 일반 사용자가 관리자 권한을 획득하여 시스템 전체를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. From 0.13.0 until 0.13.8, after the incomplete CVE-2026-22872 fix, TenantResource RawItems and Generators in internal/controllers/resources/collect.go, including handleRawItem and handleGeneratorItem, did not apply the ResourceReference.LoadResources and IsNamespacedGVK cluster-scoped resource rejection guard used by NamespacedItems, allowing a Tenant Owner to create cluster-scoped resources such as ClusterRole or ValidatingWebhookConfiguration through the cluster-admin controller client. This issue is fixed in version 0.13.8.
📍 영향받는 시스템
Capsule framework versions 0.13.0 to 0.13.8
⚔️ 공격 벡터
테넌트 소유자가 권한 검증이 누락된 컨트롤러를 통해 ClusterRole 등 클러스터 범위 리소스를 생성
🛡️ 대응 방법
Capsule 버전을 0.13.8 이상으로 업데이트
🔧 검증 코드
출력된 Capsule의 버전이 0.13.8 미만인지 확인하여 취약 여부를 판단합니다.
helm list -A | grep capsule | awk '{print $4}'