🇰🇷 한글 설명
방화벽 규칙이 커널에서 생성된 정당한 VXLAN 데이터그램과 사용자 프로세스가 위조한 데이터그램을 구분하지 못하고 무차별적으로 암호화 대상으로 지정하는 취약점입니다. Linux Swarm 노드의 호스트 네트워크 네임스페이스에서 특정 조건(UDP, Swarm 데이터 경로 포트, 특정 VNI의 VXLAN 헤더)을 충족하는 패킷을 보내면 오버레이 네트워크의 IPsec 파라미터로 암호화됩니다.
💡 쉬운 설명
해커가 가짜 네트워크 패킷을 만들어 보내면, 시스템이 이를 진짜 데이터로 착각하여 보안 암호화 과정을 거치게 만드는 문제입니다. 이로 인해 네트워크 트래픽 처리에 혼란을 주거나 보안 체계를 우회할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The firewall rules which mark VXLAN datagrams for encryption indiscriminately match both authentic VXLAN datagrams sent from the kernel and forged datagrams sent by user processes. Any packet sent from the host network namespace of a Linux Swarm node is encrypted with the overlay-network IPsec parameters which meets the following criteria:
- UDP datagram
- Destination port is the Swarm data-path port
- Datagram starts with a VXLAN header for the VNI of an encrypted overlay network which any running container on the node is connected to
📍 영향받는 시스템
Linux Swarm node를 사용하는 시스템 (VXLAN 및 IPsec 오버레이 네트워크 사용 환경)
⚔️ 공격 벡터
호스트 네트워크 네임스페이스에서 특정 조건을 충족하는 위조된 UDP/VXLAN 패킷 전송
🛡️ 대응 방법
방화벽 규칙을 수정하여 커널에서 생성된 인증된 VXLAN 패킷만 암호화하도록 식별 로직 강화 및 패치 적용
🔧 검증 코드
출력 결과에서 VXLAN 및 오버레이 네트워크 설정이 활성화되어 있는지 확인하여 취약한 환경인지 판단합니다.
ip rule show && ip route show | grep vxlan