🇰🇷 한글 설명
Temporal api-go 라이브러리 1.44.1 미만 버전에서 gRPC 프록시 사용 시 UpdateWorkflowExecution API의 'update response' 정보가 Data Converter로 전달되기 전 변환 과정을 거치지 않는 취약점이 발견되었습니다. 이로 인해 해당 필드에 포함된 데이터에 암호화와 같은 데이터 변환 처리가 적용되지 않을 수 있습니다. 이 문제는 Data Converter 서버나 Temporal Cloud 서비스에는 영향을 미치지 않으며, 전송 중 데이터는 암호화된 상태를 유지합니다.
💡 쉬운 설명
특정 소프트웨어 버전을 사용할 때, 데이터의 일부가 암호화 과정을 거치지 않고 그대로 전달될 수 있는 보안 허점이 발견되었습니다. 이는 데이터를 보호하기 위한 변환 규칙이 특정 상황에서 누락되어 발생하는 문제입니다.
🇺🇸 원문 (English)
The Temporal api-go library prior to version 1.44.1 did not send `update response` information to Data Converter when the proxy package within the api-go module was used in a gRPC proxy prior to transmission. This resulted in information contained within the `update response` field not having Data Converter transformations (e.g. encryption) applied. This is an issue only when using the UpdateWorkflowExecution APIs (released on 13th January 2025) with a proxy leveraging the api-go library before version 1.44.1.
Other data fields were correctly sent to Data Converter. This issue does not impact the Data Converter server. Data was encrypted in transit. Temporal Cloud services are not impacted.
📍 영향받는 시스템
Temporal api-go library version < 1.44.1 (UpdateWorkflowExecution API 사용 시)
⚔️ 공격 벡터
gRPC 프록시를 통해 전달되는 'update response' 필드 내의 미암호화된 데이터 노출
🛡️ 대응 방법
Temporal api-go 라이브러리를 1.44.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v1.44.1 미만인지 확인하여 취약 여부를 판단합니다.
go list -m github.com/temporalio/api-go 2>/dev/null | grep -E 'v[0-9]+\.[0-9]+\.[0-9]+'