🇰🇷 한글 설명
Vela는 Golang으로 작성된 리눅스 컨테이너 기반의 CI/CD 프레임워크입니다. 버전 0.7.0에서 추가된 인증 메커니즘의 취약점으로 인해, 공격자가 ~/.netrc 파일에 주입된 자격 증명을 이용하여 비밀 정보를 탈취할 수 있습니다. 이 문제는 버전 0.7.5에서 수정되었습니다.
💡 쉬운 설명
자동화된 소프트웨어 빌드 도구인 Vela의 보안 허점을 이용해 해커가 중요한 비밀번호나 인증 정보를 훔쳐갈 수 있는 문제입니다. 사용자의 설정 파일에 숨겨진 정보를 몰래 읽어가는 방식입니다.
🇺🇸 원문 (English)
Vela is a Pipeline Automation (CI/CD) framework built on Linux container technology written in Golang. An authentication mechanism added in version 0.7.0 enables some malicious user to obtain secrets utilizing the injected credentials within the `~/.netrc` file. Refer to the referenced GitHub Security Advisory for complete details. This is fixed in version 0.7.5.
📍 영향받는 시스템
Vela version < 0.7.5
⚔️ 공격 벡터
공격자가 ~/.netrc 파일에 주입된 자격 증명을 활용하여 인증 메커니즘을 우회하고 비밀 정보를 탈취
🛡️ 대응 방법
Vela를 보안 패치가 적용된 버전 0.7.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.7.0부터 0.7.4 사이의 버전이 출력되면 취약한 버전이 설치된 상태입니다.
vela version 2>/dev/null | grep -E '0\.[0-7]\.[0-4]'