🇰🇷 한글 설명
Fleet의 Git webhook 수신 서비스(gitjob)에서 웹훅 비밀번호가 설정되지 않았을 때 발생하는 취약점입니다. 네트워크 접근 권한이 있는 공격자는 인증 없이 요청을 보내 모든 네임스페이스의 GitRepo 리소스 내 spec.pollingInterval 필드를 변경할 수 있습니다.
💡 쉬운 설명
인증 장치가 없는 웹훅 서비스의 허점을 이용해, 공격자가 허가되지 않은 설정값을 마음대로 바꿀 수 있는 문제입니다. 이를 통해 시스템의 자동 업데이트 주기를 조작하는 등의 행위가 가능합니다.
🇺🇸 원문 (English)
A vulnerability was discovered in Fleet's Git webhook receiver (the gitjob webhook service). When a webhook secret is not configured, incoming webhook requests are accepted without verification, and processing a request can change the spec.pollingInterval field of a matching GitRepo resource in any namespace. A caller with network access to the webhook service and no Kubernetes credentials can therefore alter GitRepo configuration outside
the namespaces they are authorized for. This only affects SUSE Rancher Fleet 0.16 before 0.16.2, older versions are not affected.
📍 영향받는 시스템
SUSE Rancher Fleet 0.16.2 미만 버전
⚔️ 공격 벡터
네트워크 접근이 가능한 상태에서 인증되지 않은 웹훅 요청을 전송하여 GitRepo 설정 변경
🛡️ 대응 방법
Fleet를 0.16.2 이상의 최신 버전으로 업데이트하고 웹훅 비밀번호(webhook secret)를 반드시 설정하십시오.
🔧 검증 코드
출력된 Fleet의 버전이 0.16.2 미만인지 확인하십시오.
helm list -A | grep fleet | awk '{print $4}'