OpenShift Pipelines-as-Code 저장소 권한 검사 누락으로 네임스페이스 권한 상승
빌드 시스템에서 일반 사용자가 프로젝트 관리 권한을 뺏을 수 있습니다.
요약
OpenShift Pipelines-as-Code(PAC)가 저장소 리소스를 만든 사용자에게 파이프라인 실행 권한이 있는지 확인하지 않습니다. 같은 네임스페이스에서 저장소와 비밀 정보만 만들고 지울 수 있는 사용자가 PAC 파이프라인을 실행해 비밀 정보 읽기와 리소스 변경을 할 수 있습니다.
해당 조건
- 같은 네임스페이스에서 Repository와 Secret을 생성·삭제할 수 있는 사용자
- 자동 생성된 파이프라인 ServiceAccount에 기본 ClusterRole/edit 권한이 있는 설정
대처법
Red Hat 공지에서 고쳐진 버전을 확인해 업데이트하세요. 업그레이드 전에는 upstream pipelines-as-code 0.42.4 미만, 0.43.0 이상 0.48.2 미만, 0.49.0 이상 0.50.1 미만 버전이 해당하므로 제품이 이보다 새 버전인지 확인하고 공지를 읽으세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인