🇰🇷 한글 설명
Backstage 1.54.6 미만 버전의 Scaffolder 소스 제어 액션에서 자격 증명 경계가 일관되게 강제되지 않는 취약점이 발견되었습니다. 인증된 사용자가 특정 액션을 통해 의도보다 더 넓은 권한을 가진 통합 자격 증명을 사용하여 작업을 수행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 원래 허용된 권한보다 더 높은 권한을 가진 시스템 계정을 몰래 사용하여 작업을 수행할 수 있는 문제입니다. 마치 일반 사원이 관리자 권한을 빌려 시스템 설정을 바꾸는 것과 같습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 1.54.6, scaffolder source-control actions may not consistently enforce intended credential boundaries. An authenticated user could cause an affected action to fall back to broader integration credentials and perform operations with more access than intended. This issue is fixed in 1.54.6 when operators also enable scaffolder.requireScmUserCredentials after upgrading.
📍 영향받는 시스템
Backstage 1.54.6 미만 버전
⚔️ 공격 벡터
인증된 사용자가 Scaffolder의 소스 제어 액션을 조작하여 더 넓은 범위의 통합 자격 증명을 사용하도록 유도
🛡️ 대응 방법
Backstage를 1.54.6 버전으로 업그레이드한 후 scaffolder.requireScmUserCredentials 설정을 활성화하십시오.
🔧 검증 코드
출력된 Backstage 관련 패키지 버전이 1.54.6 미만인지 확인하십시오.
npm list @backstage/core || echo 'Check package.json for Backstage version'