🇰🇷 한글 설명
Octopus Kubernetes worker/agent의 영향받는 버전에서 API 키, 암호 등 민감한 변수들이 Kubernetes script pod 로그에 평문으로 기록되는 정보 유출 취약점입니다. Version 2에서 발견되었으나 Version 1에서도 영향을 받으며, 양쪽 모두 패치되었습니다.
💡 쉬운 설명
Octopus 배포 도구에서 비밀번호나 API 키 같은 중요 정보가 실수로 로그 파일에 평문으로 저장되는 문제입니다. 누군가 로그에 접근하면 이 정보들을 볼 수 있게 됩니다.
🇺🇸 원문 (English)
In affected versions of the Octopus Kubernetes worker or agent, sensitive variables could be written to the Kubernetes script pod log in clear-text. This was identified in Version 2 however it was determined that this could also be achieved in Version 1 and the fix was applied to both versions accordingly.
📍 영향받는 시스템
Octopus Kubernetes Worker/Agent (Version 1, Version 2 - 패치 이전 버전)
⚔️ 공격 벡터
배포된 Kubernetes 환경에서 pod 로그에 접근 가능한 내부자가 민감 변수 탈취
🛡️ 대응 방법
Octopus Deploy를 최신 패치된 버전으로 업그레이드
🔧 검증 코드
Octopus 에이전트 버전이 표시되면 현재 설치된 버전 확인, 업스트림 보안 권고에서 권장하는 패치된 버전과 비교하여 취약성 여부 판단
cat /opt/octopus/octopus-agent/version.txt 2>/dev/null || dpkg -l 2>/dev/null | grep octopus