🇰🇷 한글 설명
Rancher Manager의 Fleet 에이전트가 배포에 할당된 ServiceAccount 대신 자체 cluster-admin 권한을 사용하여 다운스트림 클러스터에 리소스를 작성하는 취약점이 발견되었습니다. 이로 인해 멀티테넌시 환경에서 서로 다른 테넌트가 동일한 클러스터를 공유할 경우 설정 파일이 덮어씌워질 위험이 있습니다.
💡 쉬운 설명
관리자 권한을 가진 프로그램이 원래 사용해야 할 제한된 권한 대신 너무 강력한 권한을 사용하여 작업을 수행하는 문제입니다. 이로 인해 권한이 낮은 사용자가 다른 사용자의 중요한 설정 파일을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified within Rancher Manager where the Fleet agent wrote resources to downstream clusters using its own cluster-admin credentials instead of the ServiceAccount pinned to the deployment. It affects multi-tenancy environments where different tenants share the same downstream clusters, for example different privileged or untrusted teams inside the same organization. This could lead to overwritten configuration files.
This issue affected SUSE Rancher Fleet 0.16 before 0.16.2, 0.15 before 0.15.7, and 0.14 before 0.14.11.
📍 영향받는 시스템
SUSE Rancher Fleet 0.16.2 미만, 0.15.7 미만, 0.14.11 미만 버전
⚔️ 공격 벡터
멀티테넌시 환경 내의 권한이 낮은 테넌트가 Fleet 에이전트의 과도한 권한을 악용하여 클러스터 리소스를 조작
🛡️ 대응 방법
Fleet 에이전트를 최신 보안 패치 버전(0.16.2, 0.15.7, 0.14.11 이상)으로 업데이트
🔧 검증 코드
출력된 Fleet 차트의 VERSION이 취약한 버전 범위에 포함되는지 확인
helm list -A | grep fleet