🇰🇷 한글 설명
Red Hat OpenShift AI의 odh-dashboard에서 권한 검사 없이 Kubernetes Secret을 읽을 수 있는 결함이 발견되었습니다. 인증된 대시보드 사용자라면 누구나 NVIDIA NGC API 키와 NIM 이미지 풀 시크릿을 포함한 전체 Secret 객체를 탈취할 수 있습니다.
💡 쉬운 설명
대시보드에 로그인할 수 있는 사용자라면 관리자 권한 없이도 시스템의 중요한 비밀번호나 인증 키를 몰래 훔쳐볼 수 있는 문제입니다. 이로 인해 중요한 클라우드 서비스나 이미지 저장소에 대한 접근 권한이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in odh-dashboard in Red Hat OpenShift AI. The backend-for-frontend route GET /api/nim-serving/:nimResource reads Kubernetes Secrets using the dashboard service account and returns the full Secret object, including .data, without an authorization check. Any authenticated dashboard user can retrieve the cluster NVIDIA NGC API key Secret (apiKeySecret) and the NIM image pull secret (nimPullSecret). Create and delete of the same NIM credential are admin-gated; the read path is not. This is missing authorization (CWE-862) and insufficiently protected credentials (CWE-522). It is distinct from CVE-2026-5483 (service-account token leak in the Kubernetes client response wrapper on the same route) and CVE-2026-16456 (odh-model-controller cross-namespace confused deputy).
📍 영향받는 시스템
Red Hat OpenShift AI (odh-dashboard 구성 요소 포함)
⚔️ 공격 벡터
인증된 사용자가 특정 API 경로(GET /api/nim-serving/:nimResource)를 호출하여 권한 검사 없이 Secret 데이터를 요청
🛡️ 대응 방법
Red Hat에서 제공하는 최신 보안 패치를 적용하여 API 경로에 대한 권한 검사 로직을 강화해야 합니다.
🔧 검증 코드
명령어 실행 결과로 Secret의 .data 필드 내용이 포함된 JSON이 출력된다면 취약한 상태입니다.
curl -s -u [USER]:[PASSWORD] https://[DASHBOARD_URL]/api/nim-serving/apiKeySecret | grep ".data"