🇰🇷 한글 설명
Apache Camel K의 사용자 정의 리소스(CR) 설정에서 발생하는 YAML 인젝션 취약점입니다. 권한이 있는 사용자가 임의의 Kubernetes 객체를 주입하여 오퍼레이터의 권한으로 승인되지 않은 리소스를 생성할 수 있습니다.
💡 쉬운 설명
설정 파일에 악성 코드를 몰래 끼워 넣어 시스템이 원래 의도하지 않은 명령을 실행하게 만드는 보안 약점입니다. 이를 통해 공격자는 관리자 권한을 가로채어 새로운 가짜 리소스를 만들 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Generation of Code ('Code Injection') vulnerability in Apache Camel K.
A YAML injection vulnerability in custom resource configuration allows an authorized CR author to inject arbitrary Kubernetes objects, potentially enabling unauthorized resource creation with the privileges of the operator.
This issue affects Apache Camel K: from 2.0.0 before 2.9.3, from 2.10.1 before 2.10.2.
Users are recommended to upgrade to version 2.9.3, 2.10.2 or 2.11.0, which fixes the issue.
📍 영향받는 시스템
Apache Camel K: 2.0.0 ~ 2.9.2, 2.10.1 미만 버전
⚔️ 공격 벡터
사용자 정의 리소스(CR) 설정 시 YAML 인젝션을 통한 임의의 Kubernetes 객체 주입
🛡️ 대응 방법
Apache Camel K를 2.9.3, 2.10.2 또는 2.11.0 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에 현재 설치된 버전이 취약한 버전 범위에 해당하면 보안 업데이트가 필요합니다.
camel-k version | grep -E '2(.(0|10|11))' | grep -vE '2.9.3|2.10.2|2.11.0'