🇰🇷 한글 설명
Octopus Deploy 2018.5.1에서 2018.5.7 버전 사이에서 발생하는 취약점입니다. Task View 권한을 가진 사용자가 OctopusPrintVariables 설정이 True인 상태로 배포를 실행할 경우, Azure Active Directory 보안 모드로 구성된 Service Fabric Cluster의 비밀번호를 볼 수 있습니다.
💡 쉬운 설명
배포 작업의 상세 내용을 볼 수 있는 권한만 있는 사용자도 설정 실수로 인해 중요한 시스템 비밀번호를 훔쳐볼 수 있는 문제입니다. 이는 권한이 낮은 사용자가 관리자급 정보를 탈취할 수 있게 만듭니다.
🇺🇸 원문 (English)
In Octopus Deploy version 2018.5.1 to 2018.5.7, a user with Task View is able to view a password for a Service Fabric Cluster, when the Service Fabric Cluster target is configured in Azure Active Directory security mode and a deployment is executed with OctopusPrintVariables set to True. This is fixed in 2018.6.0.
📍 영향받는 시스템
Octopus Deploy version 2018.5.1 to 2018.5.7
⚔️ 공격 벡터
Task View 권한을 가진 내부 사용자가 OctopusPrintVariables가 활성화된 배포 로그를 확인하여 비밀번호 탈취
🛡️ 대응 방법
Octopus Deploy를 2018.6.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2018.5.1에서 2018.5.7 사이라면 해당 취약점에 노출된 상태입니다.
curl -s http://<octopus-server-url>/api/version | grep -E '2018\.(5\.[1-7])'