🇰🇷 한글 설명
Amazon SageMaker Python SDK V3(3.10.0 미만) 및 V2(2.257.3 미만)의 git_utils[.]py 구성 요소에서 민감한 정보가 로그 파일에 삽입되는 취약점이 발견되었습니다. git clone 작업 실패 시 runclone_command() 함수가 오류 출력에서 자격 증명을 마스킹하지 않아, 인증된 원격 사용자가 CloudWatch Logs를 통해 평문 저장소 자격 증명을 획득할 수 있습니다.
💡 쉬운 설명
프로그램이 오류를 기록할 때 비밀번호 같은 중요한 정보를 가리지 않고 그대로 남겨두는 문제입니다. 이로 인해 로그를 볼 수 있는 사람이 계정 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Insertion of sensitive information into log files in the git_utils[.]py component in Amazon SageMaker Python SDK V3 before 3.10.0 and V2 before 2.257.3 might allow an authenticated remote user to obtain plaintext repository credentials from CloudWatch Logs when a git clone operation fails, because the runclone_command() function does not redact credentials from subprocess error output.
To remediate this issue, users should upgrade to Amazon SageMaker Python SDK V3 3.10.0 or V2 2.257.3.
📍 영향받는 시스템
Amazon SageMaker Python SDK V3 < 3.10.0, V2 < 2.257.3
⚔️ 공격 벡터
인증된 원격 사용자가 git clone 실패를 유도하여 CloudWatch Logs에 기록된 평문 자격 증명 탈취
🛡️ 대응 방법
Amazon SageMaker Python SDK를 V3 3.10.0 또는 V2 2.257.3 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(V3 < 3.10.0 또는 V2 < 2.257.3)에 해당하는지 확인합니다.
pip show sagemaker | grep -E 'Version'