🇰🇷 한글 설명
Backstage 0.21.9 미만 버전의 @backstage/plugin-kubernetes-backend 패키지에서 쿠버네티스 리소스 쿼리 시 민감한 정보가 노출되는 취약점이 발견되었습니다. 표준 쿠버네티스 리소스 읽기 권한을 가진 인증된 사용자는 마스킹 처리되어야 할 자격 증명 및 기밀 정보를 탈취할 수 있습니다. 이 문제는 0.21.9 버전에서 수정되었습니다.
💡 쉬운 설명
개발자 포털인 Backstage에서 숨겨져야 할 비밀번호나 인증 키 같은 중요한 정보가 권한이 있는 사용자에게 그대로 노출될 수 있는 문제입니다. 이를 통해 공격자가 클러스터의 민감한 데이터를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 0.21.9, the @backstage/plugin-kubernetes-backend package is affected by sensitive information disclosure in kubernetes resource queries. An authenticated user holding the standard Kubernetes resource read permission could retrieve sensitive values that the Kubernetes plugin is designed to mask, potentially exposing credentials and other confidential material held in the connected clusters. Exposure is limited to resources that the Backstage service account is permitted to read and that match the targeted catalog entity's namespace and label selector. Deployments whose cluster credentials do not grant read access to these resources are unaffected. This issue is fixed in version 0.21.9.
📍 영향받는 시스템
Backstage @backstage/plugin-kubernetes-backend package versions prior to 0.21.9
⚔️ 공격 벡터
표준 쿠버네티스 리소스 읽기 권한을 가진 인증된 사용자가 특정 쿼리를 통해 마스킹되지 않은 민감 정보를 요청함
🛡️ 대응 방법
Backstage를 0.21.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.21.9 미만이면 취약한 상태이며, 0.21.9 이상이면 안전합니다.
npm list @backstage/plugin-kubernetes-backend