🇰🇷 한글 설명
키 볼트(Key Vault) 쓰기 권한을 가진 권한 없는 사용자가 승인된 클라이언트를 통해 해당 사용자의 신분으로 임의의 Google Cloud KMS API 호출을 수행할 수 있습니다. 이를 통해 데이터베이스 수준의 접근 권한을 클라우드 키 제어 권한으로 격상시키고 클라이언트 측 암호화를 무력화할 수 있습니다.
💡 쉬운 설명
해커가 데이터베이스 권한만 가지고 있어도 암호화 키를 마음대로 조작할 수 있는 취약점입니다. 이로 인해 암호화된 데이터가 보호되지 않고 노출될 위험이 있습니다.
🇺🇸 원문 (English)
An unauthorized user with key vault write access may cause an authorized client to issue arbitrary authenticated Google Cloud KMS API calls under the authorized user's identity, escalating database-level access into cloud key control and defeating client-side encryption.
📍 영향받는 시스템
Google Cloud KMS 및 Key Vault 쓰기 권한이 설정된 환경
⚔️ 공격 벡터
키 볼트 쓰기 권한을 악용하여 승인된 클라이언트를 통한 KMS API 호출 유도
🛡️ 대응 방법
키 볼트(Key Vault)에 대한 쓰기 권한을 최소 권한 원칙에 따라 엄격히 제한하고 IAM 정책을 재검토하십시오.
🔧 검증 코드
명령어 실행 시 권한 오류 없이 키 목록이 출력된다면 현재 설정된 권한 범위를 점검해야 합니다.
gcloud kms keys list --location=[LOCATION] --keyring=[KEYRING_NAME] 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access