🔍 CVE-2025-36154

6.2
CVSS Score
MEDIUM
2025-12-24
2026-10-07 13:10
✅ 완료

🇰🇷 한글 설명

IBM Concert 1.0.0부터 2.1.0까지의 버전에서 재귀적 도커 빌드 중에 민감한 정보를 평문으로 저장하여 로컬 사용자가 얻을 수 있는 취약점

💡 쉬운 설명

IBM Concert의 일부 버전은 중요한 정보를 안전하지 않은 방법으로 저장하여 공격자가 접근할 수 있습니다. 이는 로컬 사용자가 시스템에 접근할 때 발생할 수 있습니다. 공격자가 시스템에 접근하면 민감한 정보를 탈취할 수 있습니다.

🇺🇸 원문 (English)

IBM Concert 1.0.0 through 2.1.0 stores sensitive information in cleartext during recursive docker builds which could be obtained by a local user.

📍 영향받는 시스템

IBM Concert 1.0.0 ~ 2.1.0

⚔️ 공격 벡터

로컬 사용자의 시스템 접근

🛡️ 대응 방법

IBM Concert를 최신 버전으로 업데이트하거나, 민감한 정보를 안전하게 저장하는 방법을 사용합니다. 또한, 시스템에 접근할 수 있는 사용자의 권한을 제한하는 것이 중요합니다.

🔧 검증 코드

로컬 시스템에서 Python을 사용하여 docker 버전을 확인하는 코드입니다. Python이 설치되어 있어야 하며, docker가 설치되어 있어야 합니다. 코드를 실행하면 IBM Concert 버전이 취약한지 여부를 확인할 수 있습니다.

Shell / Script 
python -c "import subprocess; output = subprocess.check_output(['docker', 'version']).decode('utf-8'); if '1.0.0' <= output.split(' ')[-1].split(',')[0] <= '2.1.0': print('{"result": "취약", "reason": "IBM Concert 버전이 취약한 버전입니다."}'); else: print('{"result": "양호", "reason": "IBM Concert 버전이 안전한 버전입니다."}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

💻 영향받는 소프트웨어

Docker