🇰🇷 한글 설명
Azure DevOps와 함께 사용하는 Renovate 버전 19.180.0 이상 23.25.1 미만에서 봇의 인증 토큰이 로그에 노출될 수 있는 취약점입니다. git http.extraheader 파라미터가 마스킹 처리 없이 로그에 기록되어, 로그 접근 권한이 있는 사용자가 봇의 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
자동 업데이트 도구인 Renovate가 작업 기록(로그)을 남길 때, 중요한 비밀번호와 같은 인증 정보를 숨기지 않고 그대로 노출하는 문제입니다. 로그를 볼 수 있는 사람이라면 누구나 이 정보를 이용해 시스템에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Renovate versions >=19.180.0 and <23.25.1, when used with Azure DevOps, may expose the bot's authorization token in server or pipeline logs because the git http.extraheader=AUTHORIZATION parameter is logged without redaction. Anyone with access to saved logs could obtain the bot credentials. Fixed in 23.25.1; Azure DevOps users should revoke and regenerate credentials if logs may have been exposed.
📍 영향받는 시스템
Renovate versions >=19.180.0 and <23.25.1 (used with Azure DevOps)
⚔️ 공격 벡터
로그 파일에 노출된 봇의 인증 토큰을 탈취하여 권한을 오용함
🛡️ 대응 방법
Renovate를 23.25.1 버전 이상으로 업데이트하고, 노출 가능성이 있는 경우 기존 Azure DevOps 자격 증명을 재발급받아야 함
🔧 검증 코드
출력된 버전이 19.180.0 이상 23.25.1 미만 범위에 해당하면 취약한 상태입니다.
npm list renovate | grep -E 'renovate@([1-9][0-9]|2[0-3])\.'