🇰🇷 한글 설명
Submariner 오퍼레이터에서 네트워크 연결 설정을 위한 Custom Resource(CR) 내의 IPsec 사전 공유 키(PSK)가 암호화되지 않은 상태로 저장되는 결함이 발견되었습니다. 이 키는 클러스터 간 통신 보안에 핵심적인 요소로, 권한이 없는 공격자가 이를 탈취할 경우 메시 네트워크 내의 네트워크 트래픽을 수동으로 복호화하여 민감한 정보를 유출할 수 있습니다.
💡 쉬운 설명
클러스터 간 통신을 보호하는 비밀번호가 암호화되지 않은 채로 저장되어 있습니다. 이 비밀번호를 알아낸 해커는 클러스터 사이에서 오가는 데이터를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Submariner operator. The Submariner Custom Resource (CR), used for configuring network connectivity, stores the IPsec pre-shared key (PSK) in an unencrypted format. This key, which is critical for securing communication between Kubernetes clusters, can be accessed by unauthorized parties. Such access enables an attacker to passively decrypt network traffic flowing between any two clusters in the mesh, resulting in sensitive information disclosure.
📍 영향받는 시스템
Submariner operator (IPsec PSK가 평문으로 저장되는 버전)
⚔️ 공격 벡터
권한이 있는 사용자가 Submariner Custom Resource(CR)에 접근하여 평문으로 저장된 IPsec PSK를 탈취
🛡️ 대응 방법
IPsec PSK를 암호화하여 저장하도록 Submariner 오퍼레이터를 업데이트하거나 Secret 객체를 통한 보안 저장 방식을 적용
🔧 검증 코드
명령어 실행 결과로 실제 암호화되지 않은 키 값이 출력된다면 취약한 상태입니다.
kubectl get submariner -o jsonpath='{.items[*].spec.ipsec.psk}' | grep -v 'REDACTED'