🇰🇷 한글 설명
Trigger.dev 4.5.6 미만 버전의 셀프 호스팅 Docker Compose 배포 환경에서 기본 설정된 비밀 키를 사용할 경우 인증 우회가 발생합니다. 공격자는 하드코딩된 MAGIC_LINK_SECRET을 이용해 유효한 매직 링크 토큰을 위조할 수 있으며, 이를 통해 임의의 이메일 계정으로 로그인하여 데이터베이스 및 인프라 전체에 접근할 수 있습니다.
💡 쉬운 설명
설정 파일에 들어있는 기본 비밀번호가 공개되어 있어, 누구나 가짜 로그인 링크를 만들어 관리자 권한을 얻을 수 있는 보안 결함입니다. 이를 통해 공격자가 서비스 내의 모든 데이터와 데이터베이스를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Trigger.dev before 4.5.6 self-hosted Docker Compose deployments using the default secrets from hosting/docker/.env.example allow authentication bypass because the hardcoded MAGIC_LINK_SECRET lets anyone forge valid magic link tokens. Unauthenticated attackers can log in as any email address, then reach Postgres, Redis, and ClickHouse with default credentials from runner containers on infrastructure networks, compromising all tenant data.
📍 영향받는 시스템
Trigger.dev 4.5.6 미만 버전 (Docker Compose를 통한 셀프 호스팅 환경)
⚔️ 공격 벡터
하드코딩된 MAGIC_LINK_SECRET을 이용한 매직 링크 토큰 위조 및 인증 우회
🛡️ 대응 방법
Trigger.dev를 4.5.6 이상 버전으로 업데이트하고, .env 파일의 모든 비밀 키를 고유한 값으로 변경하십시오.
🔧 검증 코드
명령어 결과에 'example'이나 'default'와 같은 기본값이 포함되어 있다면 보안에 취약한 상태입니다.
docker inspect trigger-dev-container-name | grep -i 'MAGIC_LINK_SECRET' | grep -E 'example|default'