🇰🇷 한글 설명
Pomerium의 분산 서비스 모드에서 Authenticate 서비스가 pprof 디버그 및 Prometheus 메트릭 핸들러를 신뢰할 수 없는 트래픽에 노출합니다. 이로 인해 민감한 환경 정보가 유출되거나 제한적인 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
인증 서비스의 관리용 페이지가 외부로 노출되어 내부 정보가 새어나가거나 시스템이 느려질 수 있는 문제입니다. 보안 설정이 제대로 되지 않아 관리자 전용 도구가 일반인에게 보이는 상태입니다.
🇺🇸 원문 (English)
Pomerium is an identity-aware access proxy. In distributed service mode, Pomerium's Authenticate service exposes pprof debug and prometheus metrics handlers to untrusted traffic. This can leak potentially sensitive environmental information or lead to limited denial of service conditions. This issue is patched in version v0.17.1 Workarounds: Block access to `/debug` and `/metrics` paths on the authenticate service. This can be done with any L7 proxy, including Pomerium's own proxy service.
📍 영향받는 시스템
Pomerium (v0.17.1 미만 버전)
⚔️ 공격 벡터
인증 서비스의 /debug 또는 /metrics 경로에 직접 접근하여 정보 탈취 및 DoS 시도
🛡️ 대응 방법
Pomerium를 v0.17.1 이상 버전으로 업데이트하거나, L7 프록시를 통해 /debug 및 /metrics 경로에 대한 접근을 차단하십시오.
🔧 검증 코드
명령어 실행 결과 'Vulnerable'이 출력되면 해당 경로가 노출되어 취약한 상태이며, 'Not Vulnerable'이면 안전한 상태입니다.
curl -s -I http://<pomerium-authenticate-service>/debug/pprof | grep -q '200 OK' && echo 'Vulnerable' || echo 'Not Vulnerable'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access