🇰🇷 한글 설명
Kitchen-Terraform v7.0.0에서 발생한 회귀 결함으로 인해, 'kitchen converge' 작업 중 민감한 정보를 포함한 모든 Terraform 출력 값이 'info' 로그 레벨로 출력됩니다. 이전 버전에서는 이러한 값이 'debug' 레벨로 처리되어 기본적으로 노출되지 않았으나, 이번 버전에서는 로컬 로그를 통해 민감 정보가 유출될 위험이 있습니다.
💡 쉬운 설명
테라폼을 통해 인프라를 설정할 때 비밀번호 같은 중요한 정보가 화면이나 로그 파일에 그대로 찍히는 문제입니다. 컴퓨터를 직접 사용할 수 있는 사람이 로그를 확인하면 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Kitchen-Terraform provides a set of Test Kitchen plugins which enable the use of Test Kitchen to converge a Terraform configuration and verify the resulting infrastructure systems with InSpec controls. Kitchen-Terraform v7.0.0 introduced a regression which caused all Terraform output values, including sensitive values, to be printed at the `info` logging level during the `kitchen converge` action. Prior to v7.0.0, the output values were printed at the `debug` level to avoid writing sensitive values to the terminal by default. An attacker would need access to the local machine in order to gain access to these logs during an operation. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Kitchen-Terraform v7.0.0
⚔️ 공격 벡터
로컬 머신에 접근 권한이 있는 공격자가 실행 중인 로그 파일 또는 터미널 출력 내용을 확인하여 탈취
🛡️ 대응 방법
Kitchen-Terraform을 v7.0.0 미만 버전으로 다운그레이드하거나 최신 보안 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 v7.0.0인 경우 해당 취약점에 노출된 상태입니다.
pip show kitchen-terraform | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access