🇰🇷 한글 설명
Tuleap의 시스템 데이터 수집 도구(collect-system-data)로 생성된 아카이브 파일에 Redis 인스턴스 접속 비밀번호가 삭제되지 않고 포함되는 취약점입니다. 이로 인해 지원 팀 등 아카이브를 전달받는 인원이 권한 없이 Redis 비밀번호를 획득할 수 있습니다.
💡 쉬운 설명
시스템 정보를 모아서 파일로 만들 때, 중요한 비밀번호가 지워지지 않고 그대로 남는 문제입니다. 이 파일을 받은 사람이 관리자 비밀번호를 몰래 볼 수 있어 위험합니다.
🇺🇸 원문 (English)
Tuleap is an Open Source Suite to improve management of software developments and collaboration. The password to connect the Redis instance is not purged from the archive generated with tuleap collect-system-data. These archives are likely to be used by support teams that should not have access to this password. The vulnerability is fixed in Tuleap Community Edition 16.4.99.1740492866 and Tuleap Enterprise Edition 16.4-6 and 16.3-11.
📍 영향받는 시스템
Tuleap Community Edition 16.4.99.1740492866 미만 및 Enterprise Edition 16.4-6, 16.3-11 미만 버전
⚔️ 공격 벡터
시스템 진단용으로 생성된 아카이브 파일을 획득하여 내부의 Redis 비밀번호를 탈취
🛡️ 대응 방법
Tuleap Community Edition 16.4.99.1740492866 또는 Enterprise Edition 16.4-6 및 16.3-11 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 보안 패치가 적용된 수정 버전보다 낮은지 확인합니다.
tuleap --version 2>/dev/null || echo 'Version command not found'