🇰🇷 한글 설명
Traefik v3.7.1 이상의 버전에서 Kubernetes Ingress 프로바이더의 서비스 어노테이션이 네임스페이스 간 제한을 제대로 강제하지 못하는 취약점이 발견되었습니다. 이를 통해 권한이 제한된 테넌트가 운영자 소유의 미들웨어를 자신의 서비스에 연결하여 백엔드 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 허용되지 않은 다른 영역의 설정값을 몰래 가져다 쓸 수 있는 보안 구멍이 발견되었습니다. 공격자가 이 설정을 이용하면 시스템의 중요한 비밀번호나 인증 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Traefik versions from v3.7.1 fail to enforce crossProviderNamespaces restrictions on the traefik.ingress.kubernetes.io/service.middlewares Service annotation in the Kubernetes Ingress provider. A namespace-limited tenant excluded from the allowlist can attach an operator-owned middleware to its Service, and if that middleware injects backend credentials, recover them at a controlled backend.
📍 영향받는 시스템
Traefik versions from v3.7.1
⚔️ 공격 벡터
네임스페이스 제한을 우회하여 운영자 소유의 미들웨어를 서비스 어노테이션에 강제로 연결
🛡️ 대응 방법
Traefik을 취약점이 해결된 최신 버전으로 업데이트하고 네임스페이스 격리 설정을 재검토하십시오.
🔧 검증 코드
출력된 버전이 v3.7.1 이상인지 확인하여 취약 여부를 판단합니다.
traefik version | grep -E 'v3\[0-9]+\.[0-9]+\.[0-9]+'