🇰🇷 한글 설명
Kubernetes 개발 및 테스트 자동화 플랫폼인 Garden의 0.12.39 미만 버전에서 여러 엔드포인트에 인증이 필요하지 않은 취약점이 발견되었습니다. 공격자는 로컬 서버의 /api 엔드포인트를 통해 설정 정보를 유출할 수 있으며, 이를 통해 자격 증명, 비밀번호 또는 환경 변수를 탈취할 수 있습니다.
💡 쉬운 설명
Garden이라는 프로그램의 특정 기능에 비밀번호 없이 접근할 수 있는 문이 열려 있는 상태입니다. 이를 통해 해커가 중요한 비밀번호나 설정 정보를 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Garden is an automation platform for Kubernetes development and testing. In versions prior to 0.12.39 multiple endpoints did not require authentication. In some operating modes this allows for an attacker to gain access to the application erroneously. The configuration is leaked through the /api endpoint on the local server that is responsible for serving the Garden dashboard. At the moment, this server is accessible to 0.0.0.0 which makes it accessible to anyone on the same network (or anyone on the internet if they are on a public, static IP). This may lead to the ability to compromise credentials, secrets or environment variables. Users are advised to upgrade to version 0.12.39 as soon as possible. Users unable to upgrade should use a firewall blocking access to port 9777 from all untrusted network machines.
📍 영향받는 시스템
Garden versions prior to 0.12.39
⚔️ 공격 벡터
인증 없이 접근 가능한 /api 엔드포인트를 통한 설정 정보 및 민감 데이터 유출
🛡️ 대응 방법
Garden을 0.12.39 버전 이상으로 업그레이드하거나, 방화벽을 통해 9777 포트에 대한 외부 접근을 차단하십시오.
🔧 검증 코드
출력된 버전 번호가 0.12.39보다 낮으면 취약한 버전입니다.
garden version 2>/dev/null | grep -E '0\.[0-9]+\.[0-9]+'