🇰🇷 한글 설명
Dependency-Track 4.13.5 미만 버전에서 .NET 구성 요소 분석 시, 프라이빗 NuGet 저장소용 인증 정보가 api.nuget.org로 전송될 수 있는 취약점이 발견되었습니다. 또한 내부용으로 표시된 구성 요소의 이름과 버전이 외부로 노출될 위험이 있습니다. 이 문제는 커스텀 NuGet 저장소가 인증을 사용하지만 PackageBaseAddress 리소스를 제공하지 않을 때 발생합니다.
💡 쉬운 설명
회사의 비밀 저장소에 접속할 때 사용하는 비밀번호가 실수로 외부 인터넷 사이트로 전송될 수 있는 문제입니다. 이로 인해 회사가 사용하는 소프트웨어 정보와 보안 인증 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Dependency-Track is a component analysis platform that allows organizations to identify and reduce risk in the software supply chain. Prior to version 4.13.5, Dependency-Track may send credentials meant for a private NuGet repository to `api.nuget.org` via the HTTP `Authorization` header, and may disclose names and versions of components marked as internal to `api.nuget.org`. This can happen if the Dependency-Track instance contains .NET components, a custom NuGet repository has been configured, the custom repository has been configured with authentication credentials, and the repository server does not provide `PackageBaseAddress` resource in its service index. The issue has been fixed in Dependency-Track 4.13.5. Some workarounds are avaialble. Disable custom NuGet repositories until the patch has been applied, invalidate the previously used credentials, and generate new credentials for usage after the patch has been applied.
📍 영향받는 시스템
Dependency-Track 4.13.5 미만 모든 버전
⚔️ 공격 벡터
커스텀 NuGet 저장소 설정 시 인증 정보가 외부 API로 유출되는 정보 노출 공격
🛡️ 대응 방법
Dependency-Track를 4.13.5 버전 이상으로 업데이트하고, 기존에 사용된 인증 정보를 무효화한 뒤 재발급하십시오.
🔧 검증 코드
명령어 결과에 4.13.5가 포함되지 않으면 취약한 버전이 설치되어 있는 상태입니다.
curl -s http://<dependency-track-url>/api/v1/version | grep -v '4.13.5'