🇰🇷 한글 설명
OpenChoreo의 특정 버전에서 내부 리스너가 클라이언트 인증서나 토큰 없이 /api/proxy/, /api/exec/, /api/wirelogs/ 경로를 노출하는 취약점이 발견되었습니다. 이를 통해 네트워크에 접근 가능한 공격자는 테넌트의 Kubernetes Secret을 읽거나 워크로드를 변조하고 명령을 실행할 수 있습니다.
💡 쉬운 설명
OpenChoreo라는 프로그램의 특정 통로가 비밀번호 없이 열려 있는 상태입니다. 이 통로를 통해 해커가 시스템의 중요한 정보를 훔치거나 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.0.3, 1.1.3, and 1.2.0-rc.2, internal/cluster-gateway/server.go exposed /api/proxy/, /api/exec/, and /api/wirelogs/ on an internal listener without requiring a client certificate or token, allowing any network-reachable caller to read tenant Kubernetes Secrets, mutate workloads, and execute commands across connected data planes. This issue is fixed in versions 1.0.3, 1.1.3, and 1.2.0-rc.2.
📍 영향받는 시스템
OpenChoreo versions prior to 1.0.3, 1.1.3, and 1.2.0-rc.2
⚔️ 공격 벡터
인증 없이 내부 API 엔드포인트(/api/proxy/, /api/exec/, /api/wirelogs/)에 직접 접근
🛡️ 대응 방법
OpenChoreo를 버전 1.0.3, 1.1.3 또는 1.2.0-rc.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 1.0.3, 1.1.3 또는 1.2.0-rc.2 버전이 출력되면 취약점이 해결된 상태입니다.
openchoreo --version 2>/dev/null | grep -E '1.0.3|1.1.3|1.2.0-rc.2'