🇰🇷 한글 설명
Onyxia는 쿠버네티스 기반 데이터 과학 환경인데, 버전 4.6.0부터 4.8.0까지 공개 엔드포인트(/public/catalogs)에서 비공개 헬름 리포지토리의 인증정보를 노출했습니다. 비공개 헬름 리포지토리를 설정한 인스턴스만 영향을 받으며, 버전 4.9.0에서 수정되었습니다.
💡 쉬운 설명
Onyxia 소프트웨어의 일부 버전에서 보안 비밀번호가 실수로 누구나 볼 수 있는 공개 페이지에 노출되었습니다. 이를 통해 공격자가 비공개 소프트웨어 저장소에 무단으로 접근할 수 있습니다.
🇺🇸 원문 (English)
Onyxia is a data science environment for kubernetes. In versions 4.6.0 through 4.8.0, Onyxia-API leaked the credentials of private helm repositories in the public (unauthenticated) /public/catalogs endpoint.vOnly instances using private helm repositories (i.e setting username & password in the catalogs configuration) are affected. This is fixed in version 4.9.0.
📍 영향받는 시스템
Onyxia 4.6.0 ~ 4.8.0 (비공개 헬름 리포지토리 자격증명이 설정된 인스턴스)
⚔️ 공격 벡터
공격자가 /public/catalogs 엔드포인트에 비인증 HTTP 요청을 보내 헬름 리포지토리 사용자명과 비밀번호를 탈취
🛡️ 대응 방법
Onyxia를 4.9.0 이상으로 즉시 업그레이드하거나, 버전 업그레이드 전까지 /public/catalogs 엔드포인트 접근 차단
🔧 검증 코드
username이나 password 필드가 평문으로 반환되면 취약한 상태이며, 반환되지 않으면 패치된 버전입니다.
curl -s http://onyxia-api:8080/public/catalogs 2>/dev/null | grep -E '(username|password)'