🇰🇷 한글 설명
Octopus Deploy 3.4.x 버전(2018.4.7 이전)에서 인증된 사용자가 자신이 속하지 않은 팀의 환경에 대한 변수 값을 조회, 수정 또는 저장할 수 있는 취약점이 발견되었습니다. 이 문제는 사용자가 여러 팀에 속해 있고, 그중 하나의 팀이 특정 환경에 대한 변수 편집 또는 보기 권한을 가지고 있을 때 발생합니다.
💡 쉬운 설명
권한이 있는 사용자가 원래는 볼 수 없어야 하는 다른 팀의 중요한 설정값(비밀번호 등)을 몰래 보거나 바꿀 수 있는 문제입니다. 여러 팀에 가입되어 있는 경우 권한 설정이 꼬이면서 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
In Octopus Deploy 3.4.x before 2018.4.7, an authenticated user is able to view/update/save variable values within the Tenant Variables area for Environments that do not exist within their associated Team scoping. This occurs in situations where this authenticated user also belongs to multiple teams, where one of the Teams has the VariableEdit permission or VariableView permissions for the Environment.
📍 영향받는 시스템
Octopus Deploy 3.4.x (2018.4.7 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 다중 팀 권한을 악용하여 권한 밖의 환경 변수에 접근
🛡️ 대응 방법
Octopus Deploy를 2018.4.7 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.4.x 대이면서 3.4.7보다 낮은 버전이면 취약한 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '3.4\.[0-9]+' | grep -v '4.7'