🇰🇷 한글 설명
GitRepo 리소스를 참조하는 저장소에 번들 콘텐츠를 공급할 수 있는 사용자가 SUSE Rancher Fleet의 파일 시스템에서 파일을 읽도록 유도할 수 있습니다. 이를 통해 사용자가 Kubernetes RBAC 권한 없이도 구성 정보나 Helm 레지스트리 자격 증명과 같은 민감한 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 조작된 파일을 업로드하여 시스템 내부의 비밀번호나 설정 파일을 몰래 훔쳐볼 수 있는 보안 취약점입니다. 이를 통해 원래는 볼 수 없어야 할 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A user who can supply bundle content to a repository referenced by a GitRepo resource, for example through Git push access, or through permission to create or modify a GitRepo, can cause SUSE Rancher Fleet to read files from the filesystem of the environment that processes the bundle and include their contents in the generated Bundle resource. This can expose configuration or credential material that the user has no Kubernetes RBAC permission to read, including Helm registry credentials made available to the bundle-processing job when per-path Helm credentials are configured.
This affects Fleet 0.16 before 0.16.2, 0.15 before 0.15.7, 0.14 before 0.14.11, 0.13 before 0.13.16, 0.12 before 0.12.20 and potentially older unsupported versions.
📍 영향받는 시스템
SUSE Rancher Fleet 0.16.2 미만, 0.15.7 미만, 0.14.11 미만, 0.13.16 미만, 0.12.20 미만 및 이전 버전
⚔️ 공격 벡터
Git push 권한 또는 GitRepo 생성/수정 권한을 가진 사용자가 악의적인 번들 콘텐츠를 업로드하여 파일 시스템 읽기 유도
🛡️ 대응 방법
Fleet을 최신 보안 패치가 적용된 버전(0.16.2, 0.15.7, 0.14.11, 0.13.16, 0.12.20 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Fleet 관련 리소스의 버전을 확인하여 취약한 버전 범위에 해당하는지 검토하십시오.
helm list -A | grep fleet || kubectl get pods -A | grep fleet