🇰🇷 한글 설명
Gitpod release-2022.11.2.16 미만 버전에서 Cross-Site WebSocket Hijacking(CSWSH) 취약점이 발견되었습니다. Origin 헤더가 제한되지 않아 공격자가 피해자의 자격 증명을 사용하여 Gitpod JSONRPC 서버에 WebSocket 연결을 시도할 수 있습니다. 이를 통해 워크스페이스 데이터를 추출하거나 워크스페이스 권한을 완전히 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 악성 사이트에 접속했을 때, 그 사이트가 사용자의 권한을 몰래 빌려 Gitpod 서버에 명령을 내릴 수 있는 보안 결함입니다. 이를 통해 해커가 사용자의 작업 공간에 있는 중요한 정보를 훔치거나 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Gitpod versions prior to release-2022.11.2.16. There is a Cross-Site WebSocket Hijacking (CSWSH) vulnerability that allows attackers to make WebSocket connections to the Gitpod JSONRPC server using a victim’s credentials, because the Origin header is not restricted. This can lead to the extraction of data from workspaces, to a full takeover of the workspace.
📍 영향받는 시스템
Gitpod release-2022.11.2.16 미만 모든 버전
⚔️ 공격 벡터
Origin 헤더 검증 미흡을 이용한 Cross-Site WebSocket Hijacking (CSWSH)
🛡️ 대응 방법
Gitpod을 release-2022.11.2.16 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 release-2022.11.2.16 이상의 버전이 표시되지 않으면 취약할 수 있습니다.
gitpod --version 2>/dev/null | grep -E 'release-2022.11.2.16'