🇰🇷 한글 설명
Renovate 44.79.0 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 extends presets 또는 customDatasources를 통해 임의의 내부 URL로 HTTP 요청을 보낼 수 있으며, 이를 통해 AWS 자격 증명 탈취나 민감 정보 유출이 가능합니다.
💡 쉬운 설명
프로그램이 내부 네트워크에 있는 중요한 정보에 몰래 접근할 수 있게 만드는 보안 약점입니다. 해커가 이 약점을 이용하면 회사의 중요한 비밀번호나 클라우드 접속 권한을 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Renovate before 44.79.0 contains a server-side request forgery vulnerability that allows users to make the shared HTTP client request arbitrary internal URLs via extends presets or customDatasources. Attackers can point a preset at an instance metadata service endpoint to obtain AWS credentials or leak sensitive information through Renovate logs.
📍 영향받는 시스템
Renovate versions prior to 44.79.0
⚔️ 공격 벡터
extends presets 또는 customDatasources 설정을 악용한 SSRF 공격
🛡️ 대응 방법
Renovate를 44.79.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 44.79.0보다 낮으면 취약한 상태입니다.
npm list renovate | grep -E 'renovate@'