🇰🇷 한글 설명
Laradock 20.4 이하 버전의 Build Process 중 workspace/Dockerfile 내 알 수 없는 함수에서 취약점이 발견되었습니다. 이로 인해 무결성 검증 없이 코드가 다운로드될 수 있으며, 원격 공격이 가능하나 공격 복잡도가 높고 익스플로잇은 공개되어 있습니다. 벤더는 HTTPS 전용 다운로드와 SHA-256 해시 검증을 적용한 20.5 버전으로 업그레이드할 것을 권고합니다.
💡 쉬운 설명
Laradock은 개발 환경을 자동으로 구성해 주는 도구인데, 설치 과정에서 파일을 암호화되지 않은 방식으로 내려받으면서 그 내용이 진짜인지 확인하지 않습니다. 공격자가 중간에서 파일을 바꿔치기하면 악성 코드가 설치될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in Laradock up to 20.4. Impacted is an unknown function of the file workspace/Dockerfile of the component Build Process. The manipulation results in download of code without integrity check. The attack can be launched remotely. A high complexity level is associated with this attack. The exploitability is considered difficult. The exploit has been made public and could be used. Upgrading to version 20.5 is recommended to address this issue. The patch is identified as c3494f432668472056aa0a9134ff4e0d9d2e8cea. You should upgrade the affected component. The vendor confirms: "The fix replaces the reported plaintext Event and New Relic downloads with HTTPS-only downloads and checks pinned SHA-256 hashes before extracting the archives. We also fixed the Event download in the PHP-FPM Dockerfile, in addition to the locations you identified."
📍 영향받는 시스템
Laradock 20.4 이하 버전 (workspace/Dockerfile 사용 환경)
⚔️ 공격 벡터
네트워크상의 중간자 공격 등으로 다운로드 파일을 변조하여 무결성 검증 없이 악성 코드를 주입
🛡️ 대응 방법
Laradock을 20.5 이상으로 업그레이드하고 Dockerfile 이미지를 재빌드
🔧 검증 코드
출력된 태그나 버전이 20.5 미만이면 취약하며, 20.5 이상이면 패치가 적용된 것으로 볼 수 있습니다. 결과가 없으면 Laradock이 설치되어 있지 않은 것입니다.
cd "$(find / -type d -name laradock -prune 2>/dev/null | head -n1)" 2>/dev/null && git describe --tags 2>/dev/null || grep -rl 'laradock' /etc/*release 2>/dev/null | head -n1