🇰🇷 한글 설명
Red Hat Advanced Cluster Management for Kubernetes의 must-gather 구성 요소에서 결함이 발견되었습니다. 특정 ACM 래퍼 Custom Resource에 포함된 Secret 데이터가 마스킹 처리 없이 수집되어, must-gather 실행 시 생성되는 아카이브에 자격 증명과 토큰이 평문으로 저장될 수 있습니다.
💡 쉬운 설명
시스템 진단을 위해 정보를 모으는 과정에서 비밀번호나 인증 토큰 같은 중요한 정보가 암호화되지 않은 채로 파일에 저장되는 문제입니다. 이 파일을 가진 사람은 누구나 관리자 권한을 탈취할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the must-gather component of Red Hat Advanced Cluster Management for Kubernetes. Certain ACM wrapper Custom Resources that embed Secret data are collected without redaction. When an administrator runs must-gather, credentials and tokens are captured in cleartext in the resulting archive, potentially exposing sensitive information to anyone with access to the archive.
📍 영향받는 시스템
Red Hat Advanced Cluster Management for Kubernetes (ACM) - must-gather를 사용하는 환경
⚔️ 공격 벡터
must-gather로 생성된 아카이브 파일에 접근하여 포함된 평문 자격 증명 및 토큰 탈취
🛡️ 대응 방법
Red Hat에서 제공하는 보안 패치가 적용된 최신 버전으로 업데이트
🔧 검증 코드
설치된 ACM 패키지 목록을 확인하여 현재 사용 중인 버전이 취약점이 해결된 버전인지 확인합니다.
rpm -qa | grep -i 'redhat-advanced-cluster-management'