🇰🇷 한글 설명
이전 버전의 Puppet Discovery는 nginx 컨테이너에 기본 생성된 TLS 인증서를 포함하여 배포되었습니다. 버전 1.4.0부터는 설치 시 고유한 인증서가 생성되거나 사용자가 직접 TLS 인증서를 제공할 수 있습니다.
💡 쉬운 설명
프로그램을 설치할 때 보안을 위한 암호화 인증서가 모두 똑같은 기본값으로 설정되어 있었습니다. 이로 인해 해커가 통신 내용을 훔쳐보거나 가짜 사이트로 위장할 위험이 있었습니다.
🇺🇸 원문 (English)
Previously, Puppet Discovery was shipped with a default generated TLS certificate in the nginx container. In version 1.4.0, a unique certificate will be generated on installation or the user will be able to provide their own TLS certificate for ingress.
📍 영향받는 시스템
Puppet Discovery 1.4.0 미만 버전
⚔️ 공격 벡터
기본 제공되는 동일한 TLS 인증서를 이용한 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
Puppet Discovery를 1.4.0 이상의 최신 버전으로 업데이트하거나 고유한 TLS 인증서를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.0보다 낮으면 취약한 상태입니다.
puppet-discovery --version 2>/dev/null | grep -E '^[0-9]+(\.[0-9]+)*'