Policy Controller로 CVE-2020-8554 완화

이 저장소는 오픈 소스 OPA Gatekeeper 프로젝트를 기반으로 하는 Policy Controller를 사용하여 Kubernetes 서비스의 공용 IP 접근을 차단하는 구성 파일을 포함합니다.

이 이슈에 대한 보안 권고는 다음과 같습니다:

Kubernetes에서 멀티테넌트 클러스터에 영향을 미치는 보안 문제가 발견되었습니다. 잠재적 공격자가 이미 서비스와 파드를 생성하거나 편집할 수 있다면, 클러스터 내 다른 파드(또는 노드)의 트래픽을 가로챌 수 있습니다.

이 문제는 중간 심각도(CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L)로 평가되었으며, CVE-2020-8554가 할당되었습니다.

ClusterIP 서비스를 생성하고 spec.externalIPs 필드를 설정할 수 있는 공격자는 해당 IP로 향하는 트래픽을 가로챌 수 있습니다. LoadBalancer 서비스의 상태를 패치할 수 있는 공격자(이는 권한 있는 작업으로 간주되며 일반적으로 사용자에게 부여되어서는 안 됨)는 status.loadBalancer.ingress.ip를 비슷한 방식으로 설정할 수 있습니다.

이 저장소는 서비스를 특정 허용 목록의 공용 IP로 제한하는 Template와 Constraint를 포함하여, 공격자가 신뢰할 수 있는 값 외부의 IP를 추가하는 능력을 제한합니다.

이러한 정책은 Anthos Config Management의 일부로 포함된 Policy Controller를 사용하여 적용할 수 있습니다. 허용된 IP 주소를 사용자 지정하려면 k8sExternalIPs_constraint.yaml의 "allowedIPs" 목록에서 항목을 편집하거나 추가하십시오.

CIDR로 차단

특정 CIDR 범위의 IP를 차단하려면 k8sExternalIPsCIDR_constraint.yaml 및 k8sExternalIPsCIDR_template.yaml 파일을 사용하십시오. 예를 들어, 공격자가 spec.externalIPs 필드를 기본 Kubernetes 서비스 CIDR로 지정하는 것을 방지하려는 경우입니다.