🇰🇷 한글 설명
vantage6 기술은 연합 학습(FL) 및 다자간 계산(MPC)과 같은 개인정보 보호 기술을 관리하고 배포합니다. 기본 설정된 SSH 구성에서 루트 계정의 비밀번호 인증 로그인을 허용하여 보안 취약점이 존재합니다. 적절한 배포 환경에서는 SSH 서비스가 노출되지 않아 위험이 낮으나, 모든 환경이 안전한 것은 아니므로 기본 설정을 더 엄격하게 제한해야 합니다.
💡 쉬운 설명
시스템에 접속할 수 있는 통로인 SSH 설정이 너무 느슨하게 되어 있어, 비밀번호만 알면 관리자 권한을 쉽게 탈취당할 수 있습니다. 보안을 위해 접속 권한을 더 까다롭게 제한하거나 불필요한 접속 통로를 차단해야 합니다.
🇺🇸 원문 (English)
The vantage6 technology enables to manage and deploy privacy enhancing technologies like Federated Learning (FL) and Multi-Party Computation (MPC). Nodes and servers get a ssh config by default that permits root login with password authentication. In a proper deployment, the SSH service is not exposed so there is no risk, but not all deployments are ideal. The default should therefore be less permissive. The vulnerability can be mitigated by removing the ssh part from the docker file and rebuilding the docker image. Version 4.2.0 patches the vulnerability.
📍 영향받는 시스템
vantage6 버전 4.2.0 미만 버전
⚔️ 공격 벡터
노출된 SSH 서비스를 통해 루트 계정으로 비밀번호 무차별 대입 공격(Brute-force) 수행
🛡️ 대응 방법
vantage6를 4.2.0 버전 이상으로 업데이트하거나, Dockerfile에서 SSH 관련 부분을 제거하고 이미지를 재빌드함
🔧 검증 코드
출력된 이미지의 태그(버전)가 4.2.0 미만인지 확인
docker images | grep vantage6