🇰🇷 한글 설명
OpenChoreo의 특정 버전에서 권한 검증 로직 오류로 인해 발생하는 취약점입니다. 공격자가 프로젝트 쿼리 파라미터를 조작하여 자신이 권한이 없는 다른 프로젝트의 컴포넌트에서 명령을 실행하거나 로그를 읽을 수 있습니다.
💡 쉬운 설명
사용자가 자신의 권한을 넘어서 다른 사람의 프로젝트에 몰래 들어가 명령을 내리거나 정보를 훔쳐볼 수 있는 보안 구멍입니다. 시스템이 사용자가 요청한 프로젝트 이름만 믿고 실제 소유권을 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.1.6 and 1.2.3, internal/openchoreo-api/api/handlers/exec.go and internal/openchoreo-api/api/handlers/wirelogs.go authorize component:exec and wirelogs:view using the caller-supplied project query parameter instead of comp.Spec.Owner.ProjectName, allowing a user with a project-scoped grant to execute commands in and read wirelogs from components owned by other projects in the same namespace. This vulnerability is fixed in 1.1.6 and 1.2.3.
📍 영향받는 시스템
OpenChoreo 1.1.6 및 1.2.3 미만 버전
⚔️ 공격 벡터
API 요청 시 프로젝트 쿼리 파라미터를 타겟 프로젝트의 이름으로 조작하여 권한 우회
🛡️ 대응 방법
OpenChoreo를 최신 보안 패치가 적용된 1.1.6 또는 1.2.3 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.1.6 미만이거나 1.2.3 미만인 경우 취약한 버전이 설치된 것입니다.
openchoreo --version 2>/dev/null | grep -E '1\[\.(1|2)\.([0-5]|6)'