악용 사례: 쿠버네티스 로그 쿼리의 명령어 인젝션

편집 및 추가 설명: 트리샤 하워드(Tricia Howard)

일반적으로 쿠버네티스와 컨테이너가 보안 분야에서 지배적인 힘이 됨에 따라 Akamai 연구원을 비롯한 전 세계 연구원이 여기에 주목하고 있습니다. Akamai의 리서치 여정은 처음에 CVE-2023-3676으로 이어졌습니다. 이는 악성 YAML 파일을 클러스터에 적용해 악용될 수 있는 명령어 인젝션 취약점입니다. 이 리서치는 쿠버네티스 소스 코드에서 완전한 클러스터 탈취를 가능하게 하는 몇 가지 다른 문제를 발견하는 계기가 되었습니다.

Akamai는 이 취약점뿐 아니라 보조 프로젝트인 git-sync에서도 중요한 취약점을 발견했습니다. Akamai는 발견 사항을 DEF CON 32의 Red Team Village에서 발표했고, 발표를 준비하는 과정에서 이 블로그 게시물의 주제인 '명령어 인젝션의 또 다른 기회 - 대규모 로깅 프레임워크 로그 쿼리를 위한 쿠버네티스의 베타 기능을' 우연히 발견했습니다.

로그 쿼리를 사용하면 CLI 또는 curl을 사용해 원격 머신의 시스템 상태를 쿼리할 수 있습니다. 예를 들어, 사용자는 다음 명령어를 입력해 원격 노드에서 kubelet 서비스의 상태를 쿼리할 수 있습니다.

위의 예제 명령어를 보았을 때 '원격 컴퓨터로 전송되는 쿼리가 검증될까요?'라는 이전 리서치가 떠올랐습니다.

그림 1은 로그 쿼리의 소스 코드의 예제입니다. 이 예제에서 여러 PowerShell 명령어가 작성되는 것을 발견했습니다.

여러 가지 명령어 인젝션 방법을 시도한 끝에 결국 문제가 페이로드 자체에 있는 것이 아니라는 것을 발견했습니다. 이 취약점을 악용하기 위해서는 취약한 검사가 ETW에 로깅할 때만 존재하기 때문에 일반 klog 프레임워크가 아니라 Windows용 이벤트 추적(ETW)에 기본적으로 상태를 로깅하는 서비스를 지정해야 했습니다.

Calico(쿠버네티스를 위한 인기 있는 오픈 소스 네트워크 인터페이스)를 사용하는 쿠버네티스 환경은 NSSM(Non-Sucking Service Manager)을 통해 이 취약점을 악용하는 신뢰할 수 있는 방법을 제공합니다.

• Calico 설정에서 NSSM은 일반적으로 쿠버네티스 서비스의 상태를 제어하기 위해 존재합니다. 다른 환경/설정에서는 서비스 상태를 처리하는 다른 방법을 사용합니다.

• 쿠버네티스는 NSSM의 로깅 출력을 관리하지 않으므로 klog를 통하지 않고 ETW에 직접 로그가 기록됩니다.

취약점 여부는 쉽게 확인할 수 있습니다. “os=windows” 부분을 주목하세요. Windows 노드가 없는 경우, 이 명령어는 출력이 없으므로 취약하지 않습니다.

이 기능은 베타 기능이기 때문에 클러스터도 프레임워크 자체를 사용하도록 설정해야 합니다.

이 기능이 활성화되었는지 확인하기 위해 관리자는 “kubelet”의 “feature-gate” 시작 매개변수를 살펴볼 수 있습니다. 쿠버네티스 사이트에서 더 많은 정보를 얻을 수 있습니다.

이 취약점을 해결하기 위해 쿠버네티스는 값을 PowerShell 명령어 자체에 전달하기 전에 “kubelet_pattern”이라는 환경 변수를 사용하기로 결정했습니다.

그렇게 하면 사용자 입력이 평가되어야 하는 하위 표현식이 아니라 문자열 리터럴로 간주됩니다.

이 취약점을 방어하기 위해 관리자는 RBAC(Role-Based Access Control) 모듈을 사용해 로그 쿼리에 접속할 수 있는 사용자를 제어하고 접속을 완전히 비활성화할 수도 있습니다. RBAC는 사용자의 신원에 따라 사용자 작업을 구분하는 방법입니다. 예를 들어, 각 사용자는 자신의 네임스페이스에서만 팟을 생성하거나 허용된 네임스페이스에 대한 정보만 볼 수 있습니다. 이렇게 하면 실행뿐 아니라 탐지에서도 RCE의 리스크를 줄일 수 있습니다. 

이 취약점은 Windows 노드에만 영향을 미친다는 점에 유의하세요. 쿠버네티스 클러스터에 Windows 노드가 없다면 이 취약점에 노출되지 않습니다. 그러나 다른 알려지지 않은 취약점을 피하기 위해 패치를 가능한 한 최신 상태로 유지하는 것이 좋습니다. 

이 문제는 소스 코드에 있어 위협이 계속 활성화되고 악용될 가능성이 높기 때문에 클러스터에 Windows 노드가 없더라도 패치를 적용할 것을 강력히 권장합니다.

이 블로그 게시물에서는 쿼리 권한을 가진 공격자가 클러스터 내의 모든 Windows 노드에서 명령어를 실행할 수 있는 방법을 보여드렸습니다. 이 취약점은 YAML 파일을 제출하는 대신 간단한 curl 명령어를 사용해 악용될 수 있습니다. 이 사실은 악용을 방어하고 탐지하기가 더 어렵기 때문에 큰 리스크를 초래합니다. 앞서 논의한 바와 같이 쿠버네티스 위생 문제는 로그 쿼리에만 국한된 것이 아닙니다.

방어자는 기업에 들어오는 비정상적인 행동을 경계해야 합니다. 이 공격 기법은 클러스터 전체를 장악할 수 있기 때문에 보안 관리자는 잠재적인 리스크를 인식하고 대처할 수 있도록 경각심을 높여야 합니다.

Akamai Security Intelligence Group은 이와 같은 위협을 지속적으로 리서치하고 고객과 보안 커뮤니티 전반을 위해 보고서를 작성할 것입니다. Akamai가 진행 중인 작업에 대한 실시간 업데이트를 받으려면 X(기존의 Twitter)에서 Akamai를 팔로우하세요.

Akamai는 쿠버네티스 팀의 대응과 소통에 감사의 말씀을 드립니다.