🇰🇷 한글 설명
LangGraph CLI 0.4.15부터 0.4.32 버전까지, langgraph deploy --verbose 실행 시 임시 레지스트리 푸시 토큰이 docker login --password-stdin으로 전달되는 과정에서 CLI 서브프로세스 헬퍼가 verbose 모드에서 명령 입력값을 출력합니다. 토큰 최대 유효기간(12시간) 내에 생성된 CI 로그나 터미널 기록을 읽을 수 있는 사람은 해당 배포의 이미지 저장소에서 이미지를 가져오거나 푸시할 수 있습니다. 이 문제는 0.4.32 버전에서 수정되었습니다.
💡 쉬운 설명
배포 도구를 특정 옵션으로 실행하면 인증 열쇠가 화면과 기록에 그대로 남을 수 있습니다. 이 기록을 본 사람은 임시 기간 동안 배포용 이미지를 내려받거나 바꿔 올릴 수 있습니다.
🇺🇸 원문 (English)
The LangGraph CLI is the official command-line interface for LangGraph. From 0.4.15 until 0.4.32, langgraph deploy --verbose passes a temporary registry push token on standard input to docker login --password-stdin, but the CLI subprocess helper prints command input in verbose mode. Anyone who can read resulting CI logs or terminal recordings before the token's maximum 12-hour expiration can pull deployment images or push images to that deployment's image repository. Deployments without --verbose and remote image builds are not affected, and the token alone cannot update a deployment to execute a pushed image. This issue is fixed in version 0.4.32.
📍 영향받는 시스템
LangGraph CLI 0.4.15 이상 0.4.32 미만 버전 (langgraph deploy --verbose 사용 환경)
⚔️ 공격 벡터
CI 로그 또는 터미널 녹화본에 노출된 임시 레지스트리 토큰을 탈취하여 배포 이미지를 가져오거나 푸시
🛡️ 대응 방법
LangGraph CLI를 0.4.32 이상으로 업그레이드하고, 이미 노출된 로그를 점검하며 필요 시 레지스트리 토큰을 폐기 및 재발급
🔧 검증 코드
출력된 버전이 0.4.15 이상 0.4.32 미만이면 취약하므로 0.4.32 이상으로 업그레이드가 필요하며, 버전 정보가 없으면 설치되지 않은 것입니다.
pip show langgraph-cli 2>/dev/null | grep -i '^version'