🇰🇷 한글 설명
Octopus Deploy 2020.3.x(2020.3.4 미만) 및 2020.4.x(2020.4.1 미만) 버전에서 발생하는 취약점입니다. 인증된 사용자가 Azure 단계를 사용하여 배포 또는 런북 프로세스를 생성할 때, 특정 조건에서 계정 비밀번호가 상세 작업 로그에 평문으로 노출될 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 특정 작업을 수행할 때, 시스템 기록(로그)에 비밀번호가 암호화되지 않은 글자 그대로 남게 되는 문제입니다. 이 로그를 볼 수 있는 다른 사람이 비밀번호를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
In Octopus Deploy 2020.3.x before 2020.3.4 and 2020.4.x before 2020.4.1, if an authenticated user creates a deployment or runbook process using Azure steps and sets the step's execution location to run on the server/worker, then (under certain circumstances) the account password is exposed in cleartext in the verbose task logs output.
📍 영향받는 시스템
Octopus Deploy 2020.3.x (< 2020.3.4) 및 2020.4.x (< 2020.4.1)
⚔️ 공격 벡터
인증된 사용자가 Azure 단계를 포함한 배포 프로세스를 생성하여 로그에 비밀번호가 기록되도록 유도
🛡️ 대응 방법
Octopus Deploy를 2020.3.4 또는 2020.4.1 이상의 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(2020.3.0~2020.3.3 또는 2020.4.0)에 해당하면 취약한 상태입니다.
curl -s http://<octopus-server-url>/api/version | grep -E '2020.3.[0-3]|2020.4.[0-0]'