🇰🇷 한글 설명
zhmcclient 패키지에서 로깅 기능이 활성화된 경우, 부트 FTP 비밀번호, SSC 마스터 비밀번호, LDAP 바인드 비밀번호 등의 민감한 자격증명이 평문으로 HMC 및 API 로그에 기록되는 취약점입니다. 로그 파일에 접근 가능한 공격자가 이러한 암호를 탈취하여 시스템에 침투할 수 있습니다. 1.18.1 버전 이상으로 업그레이드하면 완전히 해결됩니다.
💡 쉬운 설명
zhmcclient 라이브러리가 사용자의 암호를 로그 파일에 평문으로 저장하기 때문에 로그에 접근 가능한 사람이면 누구든 암호를 읽을 수 있습니다. 이는 매우 심각한 보안 침해입니다.
🇺🇸 원문 (English)
zhmcclient is a pure Python client library for the IBM Z HMC Web Services API. In affected versions the Python package "zhmcclient" writes password-like properties in clear text into its HMC and API logs in the following cases: 1. The 'boot-ftp-password' and 'ssc-master-pw' properties when creating or updating a partition in DPM mode, in the zhmcclient API and HMC logs. 2. The 'ssc-master-pw' and 'zaware-master-pw' properties when updating an LPAR in classic mode, in the zhmcclient API and HMC logs. 3. The 'ssc-master-pw' and 'zaware-master-pw' properties when creating or updating an image activation profile in classic mode, in the zhmcclient API and HMC logs. 4. The 'password' property when creating or updating an HMC user, in the zhmcclient API log. 5. The 'bind-password' property when creating or updating an LDAP server definition, in the zhmcclient API and HMC logs. This issue affects only users of the zhmcclient package that have enabled the Python loggers named "zhmcclient.api" (for the API log) or "zhmcclient.hmc" (for the HMC log) and that use the functions listed above. This issue has been fixed in zhmcclient version 1.18.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
zhmcclient < 1.18.1 (zhmcclient.api 또는 zhmcclient.hmc 로거가 활성화된 환경)
⚔️ 공격 벡터
로그 파일 접근 권한이 있는 내부 공격자 또는 외부 침입자가 평문 암호를 통해 HMC 시스템에 직접 접근
🛡️ 대응 방법
zhmcclient를 1.18.1 이상으로 즉시 업그레이드하고 기존 로그 파일에서 민감한 자격증명 제거
🔧 검증 코드
표시된 zhmcclient 버전이 1.18.1 이상이면 안전하고, 미만이면 즉시 업그레이드 필요
pip list 2>/dev/null | grep -i zhmcclient