🇰🇷 한글 설명
konflux-ci에서 발견된 결함으로, 저장소 쓰기 권한을 가진 공격자가 CI/CD 워크플로우 환경에서 임의 코드를 실행할 수 있습니다. 환경 변수 내보내기 스크립트에 셸 명령어를 주입하면 매니페스트 동기화 스크립트가 검증되지 않은 출력을 동적으로 평가하게 됩니다. 이를 통해 파이프라인 탈취, 인증 토큰 및 배포 자격 증명 유출, 운영 시스템 무단 접근이 가능해집니다.
💡 쉬운 설명
저장소에 쓰기 권한이 있는 사람이 자동 배포 과정에 악성 명령어를 몰래 넣을 수 있는 취약점입니다. 이를 통해 배포 비밀번호와 토큰이 털리고 실제 서비스 서버까지 침입당할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in konflux-ci. An attacker with repository write access can achieve arbitrary code execution within the Continuous Integration and Continuous Delivery (CI/CD) workflow environment. By injecting shell commands into environment export scripts, the attacker causes manifest synchronization scripts to dynamically evaluate unvalidated script output. Successful exploitation allows the attacker to compromise CI/CD pipelines, steal sensitive authentication tokens and deployment credentials, and gain unauthorized access to production systems.
📍 영향받는 시스템
konflux-ci를 사용하는 CI/CD 파이프라인 (정확한 영향 버전은 공식 권고문 확인 필요)
⚔️ 공격 벡터
저장소 쓰기 권한을 가진 공격자가 환경 변수 내보내기 스크립트에 셸 명령어를 삽입하여 매니페스트 동기화 스크립트에서 실행되도록 함
🛡️ 대응 방법
konflux-ci를 공식 패치된 최신 버전으로 업데이트하고, 스크립트 출력값에 대한 입력 검증 및 동적 평가(eval) 사용을 제거
🔧 검증 코드
출력된 버전이 공식 권고문의 패치된 버전 이상이면 조치 완료, 이전 버전이면 업데이트가 필요하며 'not found'면 해당 도구가 설치되지 않은 것입니다.
konflux-ci version 2>/dev/null || (command -v konflux >/dev/null && konflux --version 2>/dev/null) || echo 'konflux-ci not found'