CVE-2026-33413은 오픈 소스 AI 에이전트(strix.ai), 8.8 CVSS의 ETCD에서 발견되었습니다.
hackernews
|
|
🔬 연구
#ai 에이전트
#cve
#etcd
#review
#오픈소스
#취약점
원문 출처: hackernews · Genesis Park에서 요약 및 분석
요약
etcd 분산 키-값 저장소에서 인증 및 권한 검증 로직의 결함으로 인해, gRPC API에 노출된 클러스터가 비인가 사용자의 공격에 취약한 보안 취약점(CVE-2026-33413)이 발견되었습니다. 이 취약점을 악용하면 공격자가 클러스터 토폴로지를 탈취하거나 알람 호출을 통해 서비스 거부(DoS)를 유발하고, 데이터 영구 삭제 등 심각한 운영 차단을 일으킬 수 있습니다. 케르베르네스는 별도의 인증 방식을 사용하므로 영향이 없으나, 직접 etcd 인증을 사용하는 환경에서는 즉시 etcd 3.4.42, 3.5.28, 3.6.9 이상 버전으로 업데이트하거나 네트워크 접근을 제한하는 조치가 필요합니다.
본문
etcd is a distributed key-value store for the data of a distributed system. Prior to versions 3.4.42, 3.5.28, and 3.6.9, unauthorized users may bypass authentication or authorization checks and call certain etcd functions in clusters that expose the gRPC API to untrusted or partially trusted clients. In unpatched etcd clusters with etcd auth enabled, unauthorized users are able to call MemberList and learn cluster topology, including member IDs and advertised endpoints; call Alarm, which can be abused for operational disruption or denial of service; use Lease APIs, interfering with TTL-based keys and lease ownership; and/or trigger compaction, permanently removing historical revisions and disrupting watch, audit, and recovery workflows. Kubernetes does not rely on etcd’s built-in authentication and authorization. Instead, the API server handles authentication and authorization itself, so typical Kubernetes deployments are not affected. Versions 3.4.42, 3.5.28, and 3.6.9 contain a patch. If upgrading is not immediately possible, reduce exposure by treating the affected RPCs as unauthenticated in practice. Restrict network access to etcd server ports so only trusted components can connect and/or require strong client identity at the transport layer, such as mTLS with tightly scoped client certificate distribution.
Genesis Park 편집팀이 AI를 활용하여 작성한 분석입니다. 원문은 출처 링크를 통해 확인할 수 있습니다.
공유