해결 방법
영향을 받는 Red Hat 제품 버전을 사용하는 고객은 패치가 릴리스되는 대로 바로 업데이트할 것을 강력히 권장합니다.
OpenShift Online (Starter, Pro)이 수정되었습니다. OpenShift Dedicated를 사용하는 고객은 지원 담당자에게 문의하여 시스템 상태 및 업데이트 일정을 확인하시기 바랍니다.
영향을 받는 제품 업데이트
완화 방법
OpenShift Container Platform 3.2 버전 이상에서 문제점을 해결하기 위한 업데이트를 사용할 수 있습니다.
최신 버전으로 업데이트한 사용자는 추가 완화 조치를 적용할 필요가 없습니다. 그러나 업데이트를 적용할 수 없는 경우 문제를 완화하는 것이 좋습니다.
pod exec/attach/port-forward 공격 완화 (OCP 3.2->3.11)
기본 admin으로 전환하고 다음과 같이 pod attach/exec/port-forward 권한으로 역할을 편집합니다.
$oc edit clusterrole admin
‘rbac.authorization.kubernetes.io/autoupdate’ 주석을 false 값으로 추가하고 pod attach/exec/portforward 권한을 제거합니다. 예:
apiVersion: v1
kind: ClusterRole
metadata:
annotations:
openshift.io/description: A user that has edit rights within the project and can
change the project's membership.
creationTimestamp: 2018-11-21T01:34:04Z
name: admin
resourceVersion: "148192"
selfLink: /oapi/v1/clusterroles/admin
uid: 87dd0306-ed2d-11e8-9456-fa163e65ec84
rules:
- apiGroups:
- ""
attributeRestrictions: null
resources:
- pods
- pods/proxy
verbs:
이러한 권한을 갖는 '편집'역할에 대해서도 동일한 작업을 수행하십시오.
프로젝트의 단일 사용자의 경우 :
사용자에게 할당된 역할을 확인하십시오. 이 경우 admin 역할은 quicklab 사용자에게 할당됩니다.
$ oc project myproj
$ oc adm policy who-can get pods/exec
Namespace: test
Verb: get
Resource: pods/exec
Users: quicklab
system:admin
system:serviceaccount:kube-system:generic-garbage-collector
system:serviceaccount:kube-system:namespace-controller
Groups: system:cluster-admins
system:masters
$ oc get rolebindings
NAME ROLE USERS GROUPS SERVICE ACCOUNTS SUBJECTS
admin /admin quicklab
system:deployers /system:deployer deployer
system:image-builders /system:image-builder builder
system:image-pullers /system:image-puller system:serviceaccounts:myproj
$ oc export clusterrole admin > admin-mitigate.yml
'rbac.authorization.kubernetes.io/autoupdate'주석을 false 값으로 추가하고 이름을 변경하고 pod attach/exec/portforward 권한을 제거하여 admin-mitigate.yml을 편집하십시오. 예:
apiVersion: v1
kind: ClusterRole
metadata:
annotations:
openshift.io/description: A user that has edit rights within the project and can
change the project's membership.
rbac.authorization.kubernetes.io/autoupdate: "false"
creationTimestamp: null
name: admin-mitigate
rules:
- apiGroups:
- ""
attributeRestrictions: null
resources:
- pods
- pods/proxy
verbs:
...
새로운 설정으로 새 역할을 만듭니다.
$ cat admin-mitigate.yml | oc create -f -
다음 권한을 원하지 않는 사용자에게 이 역할을 할당하십시오.
$ oc adm policy remove-role-from-user admin quicklab
role "admin" removed: "quicklab"
$oc adm policy add-role-to-user admin-mitigate quicklab
role “admin-mitigate’”added: “quicklab”
API 확장에 대한 공격 완화 (OCP 3.6 -> 3.11)
클러스터를 패치된 버전으로 업그레이드할 때까지 API 확장 공격을 완화하려면 영향을 받는 API 확장을 제거합니다. 서비스 삭제에 의해 중요 기능이 손실되지 않도록 각 서비스를 신중하게 검토하십시오. 서비스 삭제에 의해 중요 기능에 영향을 주는 경우 네트워크 기능 사용 제한과 같은 다른 옵션을 선택해야 합니다.
다음의 방법으로 비활성화해야 하는 서비스 목록을 가져옵니다.
$ oc get apiservices -o=custom-columns=NAME:.metadata.name,SERVICE:.spec.service,STATUS:.status.conditions[0].type,VALUE:.status.conditions[0].status | grep -v '<nil>'
예를 들어 OCP 3.11의 경우 서비스에는 다음이 포함될 수 있습니다.
| 이름 | 서비스 | 상태 | 값 |
| v1beta1.servicecatalog.k8s.io | map[name:apiserver namespace:kube-service-catalog] | Available | True |
출력에 나열된 서비스를 비활성화합니다. 예 :
$ oc delete svc apiserver -n kube-service-catalog
이 예에서 service-catalog를 다시 활성화하려면 openshift-service-catalog playbook을 실행하십시오. 다른 서비스를 다시 사용 가능하게 설정하는 방법은 제품 설명서에서 참조하십시오.
$ ansible-playbook [-i /path/to/inventory]
/usr/share/ansible/openshift-ansible/playbooks/openshift-service-catalog/config.yml
Comments