🇰🇷 한글 설명
OpenChoreo의 1.0.2 및 1.1.2 미만 버전에서 인증 없이 관리 API에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 네트워크를 통해 /api/proxy/ 및 /api/exec/ 작업을 호출하여 Kubernetes API를 프록시하거나 멀티 클러스터 배포 환경의 워크로드 포드에서 명령을 실행할 수 있습니다.
💡 쉬운 설명
OpenChoreo라는 프로그램의 보안 설정 오류로 인해, 아무나 관리자 권한을 얻어 서버를 조종할 수 있는 상태입니다. 해커가 이 허점을 이용하면 클러스터 내부의 데이터에 접근하거나 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.0.2 and 1.1.2, internal/cluster-gateway/server.go served caller-facing management APIs on the externally reachable agent listener without authentication, allowing network-reachable attackers to invoke /api/proxy/ and /api/exec/ operations, proxy the data-plane Kubernetes API, and execute commands in workload pods in multi-cluster deployments. This issue is fixed in versions 1.0.2 and 1.1.2.
📍 영향받는 시스템
OpenChoreo versions prior to 1.0.2 and 1.1.2
⚔️ 공격 벡터
네트워크를 통해 인증 없이 관리 API(/api/proxy/, /api/exec/)에 직접 접근하여 공격
🛡️ 대응 방법
OpenChoreo를 버전 1.0.2 또는 1.1.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 1.0.2 또는 1.1.2 이상의 버전이 출력되면 안전하며, 그렇지 않으면 취약한 버전입니다.
openchoreo --version 2>/dev/null | grep -E '1.0.2|1.1.2'