🇰🇷 한글 설명
SUSE Rancher Fleet에서 테넌트 간 권한 부여 문제가 발견되었습니다. 클러스터 등록 시 에이전트가 제공한 라벨이 관리용 네임스페이스의 라벨을 덮어쓸 수 있어, 공격자가 의도치 않은 타겟팅 규칙을 충족시켜 Fleet 워크스페이스 내의 다른 테넌트 자원에 접근할 수 있습니다.
💡 쉬운 설명
클러스터를 등록할 때 가짜 이름표를 붙여서, 원래는 접근하면 안 되는 다른 사용자의 설정이나 프로그램이 내 클러스터에 설치되도록 속이는 문제입니다. 이를 통해 관리자가 설정한 보안 규칙을 우회할 수 있습니다.
🇺🇸 원문 (English)
A cross-tenant authorization issue was discovered in SUSE Rancher Fleet. During agent-initiated cluster registration, cluster labels supplied by the registering agent, including labels in the reserved management.cattle.io/ namespace such as the cluster display name label, were applied to the resulting upstream Cluster object. Because Fleet resolves GitRepo and Bundle targets from those cluster labels, a party able to register a cluster into a Fleet workspace namespace shared with other tenants could cause its own cluster to satisfy targeting rules that administrators intended for a different cluster.
This affects SUSE Rancher Fleet 0.16 before 0.16.1, 0.15 before 0.15.6, 0.14 before 0.14.10, 0.13 before 0.13.15, 0.12 before 0.12.19 and older versions.
📍 영향받는 시스템
SUSE Rancher Fleet 0.16.1 미만, 0.15.6 미만, 0.14.10 미만, 0.13.15 미만, 0.12.19 미만 및 이전 버전
⚔️ 공격 벡터
클러스터 등록 과정에서 예약된 네임스페이스(management.cattle.io/)의 라벨을 포함한 조작된 라벨을 전송하여 타겟팅 규칙을 우회함
🛡️ 대응 방법
Fleet을 최신 보안 패치가 적용된 버전(0.16.1, 0.15.6, 0.14.10, 0.13.15, 0.12.19 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Fleet의 버전이 취약점이 해결된 패치 버전 이상인지 확인하십시오.
fleet version 2>/dev/null || helm list -n fleet | grep fleet