🇰🇷 한글 설명
Kiuwan Local Analyzer의 JAR 파일에 GitHub 자격증명과 암호화 키가 평문으로 하드코딩되어 있습니다. 이로 인해 스캔 결과의 기밀성이 손상될 수 있고, 저장된 자격증명으로 GitHub 계정이 탈취될 수 있습니다.
💡 쉬운 설명
취약한 버전의 코드 스캔 도구 내부에 비밀번호가 숨겨져 있어서, 누군가 도구를 분석하면 비밀번호를 찾을 수 있습니다. 그 비밀번호로 GitHub 계정에 접근하거나 스캔 결과를 위변조할 수 있습니다.
🇺🇸 원문 (English)
The Kiuwan Local Analyzer (KLA) Java scanning application contains several
hard-coded secrets in plain text format. In some cases, this can
potentially compromise the confidentiality of the scan results. Several credentials were found in the JAR files of the Kiuwan Local Analyzer.
The
JAR file "lib.engine/insight/optimyth-insight.jar" contains the file
"InsightServicesConfig.properties", which has the configuration tokens
"insight.github.user" as well as "insight.github.password" prefilled
with credentials. At least the specified username corresponds to a valid
GitHub account. The
JAR file "lib.engine/insight/optimyth-insight.jar" also contains the
file "es/als/security/Encryptor.properties", in which the key used for
encrypting the results of any performed scan.
This issue affects Kiuwan SAST: <master.1808.p685.q13371
📍 영향받는 시스템
Kiuwan SAST < master.1808.p685.q13371
⚔️ 공격 벡터
JAR 파일 역어셈블리를 통해 InsightServicesConfig.properties와 Encryptor.properties에서 하드코딩된 GitHub 자격증명과 암호화 키 탈취
🛡️ 대응 방법
Kiuwan SAST를 master.1808.p685.q13371 이상으로 업그레이드하고 영향받은 모든 자격증명 재설정
🔧 검증 코드
명령어가 github.password, github.user 등의 항목을 반환하면 취약 버전입니다. 반환값이 없으면 패치된 버전이거나 파일이 없습니다.
unzip -p /path/to/optimyth-insight.jar 'es/als/security/Encryptor.properties' 'InsightServicesConfig.properties' 2>/dev/null | grep -E '(password|github|key)' && echo 'VULNERABLE' || echo 'NOT FOUND'