Kubernetes RBAC 우회(CVE-2026-1247): 주요 클라우드 전체에 영향을 미치는 클러스터 관리자 권한 상승

Kubernetes 1.29~1.31의 치명적인 RBAC 우회 취약점으로 인해 인증된 사용자는 누구나 변조한 ServiceAccount 토큰 프로젝션을 이용해 cluster-admin 권한으로 상승할 수 있습니다. CVSS 점수는 9.1이며 모든 주요 클라우드 제공업체가 영향을 받습니다. 즉시 패치하십시오.

---

요약

Kubernetes RBAC(역할 기반 접근 제어)에서 최소 권한만 가진 사용자를 포함한 모든 인증 사용자가 전체 cluster-admin 권한을 얻을 수 있는 치명적인 취약점이 발견됐습니다. 결함은 API 서버가 특별히 조작된 audience 클레임을 포함한 프로젝션 ServiceAccount 토큰을 처리하는 방식에 있습니다.

기술 분석

취약점은 kube-apiserver의 토큰 프로젝션 검증 로직에 존재합니다. 파드가 여러 audience 클레임이 포함된 프로젝션 ServiceAccount 토큰을 요청하면 API 서버의 RBAC 평가기가 서로 다른 ClusterRoleBindings의 권한 집합을 잘못 병합합니다.

공격 흐름

1. 공격자가 조작한 audience 값을 포함하는 프로젝션 ServiceAccount 토큰을 사용하도록 파드 명세를 생성합니다.
2. 해당 TokenRequest API가 서로 겹치는 audience 클레임을 포함한 토큰을 생성합니다.
3. 이 토큰으로 API 인증을 수행하면 RBAC 평가기가 관련 없는 ClusterRoles의 바인딩을 잘못 해석합니다.
4. 그 결과 공격자의 ServiceAccount가 실질적인 cluster-admin 권한을 얻게 됩니다.

영향 평가

Kubernetes 보안에서 사실상 최악의 상황입니다.

• 전체 클러스터 장악 — 모든 네임스페이스와 Secret, 워크로드에 대한 읽기·쓰기 접근
• 측면 이동 — 공유 서비스 계정이나 연합 ID를 통해 다른 클러스터로 이동
• 데이터 유출 — 모든 ConfigMaps와 Secrets(TLS 인증서 및 클라우드 제공업체 자격 증명 포함)에 접근
• 공급망 위험 — 실행 중인 워크로드를 변경하고 악성 컨테이너를 삽입하거나 CI/CD 파이프라인을 조작할 수 있음

영향받는 클라우드 제공업체

즉시 수행할 조치

1. 즉시 패치 — 1.29.15, 1.30.11 또는 1.31.7로 업그레이드하십시오.
2. ServiceAccount 토큰 감사 — 모든 프로젝션 토큰 구성을 검토해 비정상적인 audience 클레임을 찾으십시오.
3. 감사 로깅 활성화 — 여러 audience를 포함한 TokenRequest API 호출을 모니터링하십시오.
4. 네트워크 정책 — 가능한 경우 파드에서 API 서버로 향하는 통신을 제한하십시오.
5. 자격 증명 교체 — 비정상 활동을 발견했다면 침해를 전제로 모든 클러스터 Secret을 교체하십시오.

탐지

감사 로그에서 다음 침해 지표를 찾으십시오.

• audience 값이 2개를 초과하는 TokenRequest 호출
• ClusterRoleBinding 감사 이벤트에 나타나는 예상 밖의 system:serviceaccount ClusterRoleBinding 감사 이벤트의 주체
• 정상 파드 CIDR 범위 밖의 IP 주소에서 사용된 ServiceAccount 토큰
• 권한이 낮은 네임스페이스에서 갑자기 증가한 Secret 읽기 작업

---