🇰🇷 한글 설명
hawtio-operator에서 OpenShift Service CA의 개인 서명 키를 사용하여 임의의 CN을 가진 클라이언트 인증서를 발급하는 결함이 발견되었습니다. 특정 네임스페이스에 편집 권한이 있는 사용자가 이 취약점을 악용하여 클러스터 내의 모든 서비스 ID를 사칭할 수 있습니다.
💡 쉬운 설명
해커가 권한을 이용해 가짜 신분증을 마음대로 만들어낼 수 있는 보안 구멍이 발견되었습니다. 이 가짜 신분증을 사용하면 클러스터 내의 중요한 서비스인 것처럼 속여서 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in hawtio-operator. The operator reads the OpenShift Service CA private signing key from the openshift-service-ca namespace and uses it to mint client certificates with a Subject Common Name (CN) supplied by the author of a namespaced Hawtio custom resource. Because the operator ships a ClusterRole that aggregates Hawtio CR permissions into the edit and admin roles, any user with edit access in any namespace can obtain a Service-CA-signed certificate with an arbitrary subject. This certificate can be used to impersonate any in-cluster service identity to peers that trust the Service CA for client authentication, including Jolokia agents and other Service-CA-trusting components.
📍 영향받는 시스템
hawtio-operator (OpenShift 환경에서 실행되는 버전)
⚔️ 공격 벡터
네임스페이스 편집 권한을 가진 사용자가 Hawtio Custom Resource의 CN 필드를 조작하여 임의의 인증서 발급
🛡️ 대응 방법
hawtio-operator를 최신 보안 패치가 적용된 버전으로 업데이트하고, ClusterRole 권한 설정을 검토하여 최소 권한 원칙을 적용하십시오.
🔧 검증 코드
명령어 결과에 hawtio-operator 관련 ClusterRole과 CRD가 존재하면 해당 취약점에 노출될 가능성이 있는 환경입니다.
oc get clusterrole | grep hawtio-operator && oc get crd hawtio.io | grep -i customresourcedefinition
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access