🇰🇷 한글 설명
오픈소스 프로젝트 관리 도구인 Plane의 1.4.0 미만 버전에서 배포 매니페스트에 고정된 SECRET_KEY와 LIVE_SERVER_SECRET_KEY가 포함되어 있습니다. 운영자가 이를 변경하지 않을 경우, 공격자가 Django 서명된 값을 위조하여 계정이나 세션을 탈취하거나 인증을 우회할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 열쇠가 공개된 상태로 설정되어 있어, 해커가 이 열쇠를 이용해 관리자 권한을 훔치거나 로그인을 건너뛸 수 있는 위험한 상태입니다. 이를 방지하려면 보안 열쇠를 사용자만의 고유한 값으로 바꿔주어야 합니다.
🇺🇸 원문 (English)
Plane is an open-source project management tool. Prior to 1.4.0, the deployments/aio/community/ and deployments/cli/community/ manifests provide fixed, publicly known SECRET_KEY and LIVE_SERVER_SECRET_KEY defaults that remain active when operators do not override them. The top-level setup.sh randomizes secrets only for the development Docker Compose path, leaving unchanged aio and cli community deployments with shared production secrets. Knowledge of SECRET_KEY enables attackers to forge Django-signed values and compromise accounts or sessions. Knowledge of LIVE_SERVER_SECRET_KEY bypasses live-service authentication on unchanged community deployments. This issue is fixed in 1.4.0.
📍 영향받는 시스템
Plane (versions prior to 1.4.0)
⚔️ 공격 벡터
공개된 기본 비밀키를 이용한 Django 서명 위조 및 인증 우회 공격
🛡️ 대응 방법
Plane 버전을 1.4.0 이상으로 업데이트하거나, 배포 설정에서 SECRET_KEY 및 LIVE_SERVER_SECRET_KEY를 고유한 값으로 재설정하십시오.
🔧 검증 코드
설치된 Plane 버전을 확인하고, 배포 설정 파일 내에 공개된 기본 비밀키가 그대로 사용되고 있는지 점검하십시오.
docker images | grep plane && echo 'Check deployment manifests for fixed SECRET_KEY'