Kubernetes vault-secrets-webhook に SSRF 脆弱性、ServiceAccount トークン窃取可能

要約

Banzai Cloud の vault-secrets-webhook に、設定情報の検証不足に起因する SSRF（サーバーサイドリクエストフォージェリ）脆弱性が存在する。ConfigMap または Secret の `vault.security.banzaicloud.io/vault-addr` アノテーションを無検証で読み込み、攻撃者が指定した任意の URL へ webhook プロセスから同期的に HTTP 呼び出しを行う。webhook はクラスタ全体で `serviceaccounts/token:create` 権限を保持し、`vault-serviceaccount` アノテーションで指定された ServiceAccount の JWT トークンを exfiltrate される。ConfigMap や Secret 作成権限を持つ攻撃者は、webhook プロセスを悪用して任意の外部 URL への接続と ServiceAccount トークンの窃取が可能になる。