🇰🇷 한글 설명
Gardener의 customverbauthorizer admission plugin에서 프로젝트 멤버 관리 시 User 대상만 확인하고 Group이나 ServiceAccount 대상은 확인하지 않는 취약점이 발견되었습니다. 이로 인해 권한이 없는 프로젝트 관리자가 임의의 그룹이나 서비스 계정을 추가하여 프로젝트에 대한 광범위한 접근 권한을 획득할 수 있습니다. 해당 취약점은 Shoots, Secrets 및 클라우드 제공업체 자격 증명에 대한 노출로 이어질 수 있습니다.
💡 쉬운 설명
프로젝트 관리자가 원래는 할 수 없는 권한을 이용해 다른 사용자 그룹을 몰래 초대할 수 있는 보안 구멍이 있습니다. 이를 통해 해커가 프로젝트의 중요한 비밀번호나 클라우드 설정에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Gardener implements the automated management and operation of Kubernetes clusters as a service. Prior to 1.142.6, 1.143.3, 1.144.2, and 1.145.0, the customverbauthorizer admission plugin's mustCheckProjectMembers manage-members check compares changes to User subjects but does not account for Group or ServiceAccount subjects in Project.spec.members. A project administrator who lacks manage-members permission can add arbitrary Group or ServiceAccount subjects, including the system:authenticated Group, and thereby grant broad project access. The resulting access can include Shoots, Secrets, and cloud provider credentials. This issue is fixed in versions 1.142.6, 1.143.3, 1.144.2, and 1.145.0.
📍 영향받는 시스템
Gardener versions prior to 1.142.6, 1.143.3, 1.144.2, and 1.145.0
⚔️ 공격 벡터
권한이 제한된 프로젝트 관리자가 Project.spec.members에 Group 또는 ServiceAccount를 추가하여 권한 상승 시도
🛡️ 대응 방법
Gardener를 1.142.6, 1.143.3, 1.144.2 또는 1.145.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 수정된 버전 중 하나가 출력되면 취약점이 해결된 상태입니다.
gardener --version 2>/dev/null | grep -E '1.142.6|1.143.3|1.144.2|1.145.0'