🇰🇷 한글 설명
Elastic Cloud on Kubernetes(ECK)에서 Fleet Server 리소스를 조정할 때 서비스 계정 토큰이 Kubernetes Secret을 참조하는 대신 워크로드 사양에 평문으로 기록되는 취약점입니다. 이로 인해 해당 네임스페이스의 워크로드 사양을 읽을 수 있는 권한이 있다면 Elasticsearch 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
중요한 비밀번호가 암호화된 금고가 아닌 일반 문서에 그대로 적혀 있는 상태와 같습니다. 해커가 금고를 열 권한이 없더라도 문서만 읽을 수 있다면 비밀번호를 알아낼 수 있습니다.
🇺🇸 원문 (English)
Cleartext Storage of Sensitive Information in an Environment Variable (CWE-526) in Elastic Cloud on Kubernetes (ECK) can lead to information disclosure via Retrieve Embedded Sensitive Data (CAPEC-37). When ECK reconciles a Fleet Server resource that authenticates to Elasticsearch with a service account token, the token is written into the generated workload specification in cleartext rather than being referenced from the Kubernetes Secret that ECK maintains for the other credentials on the same path. Any principal able to read workload specifications in the affected namespace can therefore read a live Elasticsearch credential, even when Kubernetes RBAC does not grant that principal access to Secrets.
📍 영향받는 시스템
Elastic Cloud on Kubernetes (ECK) Fleet Server 관련 구성 요소
⚔️ 공격 벡터
해당 네임스페이스 내에서 워크로드 사양(Pod/Deployment spec)을 읽을 수 있는 권한을 이용한 정보 탈취
🛡️ 대응 방법
ECK를 최신 보안 패치가 적용된 버전으로 업데이트하여 토큰이 Secret을 참조하도록 수정
🔧 검증 코드
출력 결과에 서비스 계정 토큰 값이 평문(cleartext)으로 직접 노출된다면 취약한 상태입니다.
kubectl get fleet -n <namespace> -o yaml | grep -i 'token'