🇰🇷 한글 설명
Devolutions Server 2026.1.22.0 및 2026.2.11.0 버전의 Recovery Kit 응답 파일 생성 기능에서 민감한 정보가 파일에 삽입되는 취약점이 발견되었습니다. 공격자가 생성된 응답 파일에 접근할 수 있다면, 민감 데이터 제외 옵션을 선택했음에도 불구하고 Azure Key Vault 클라이언트 비밀번호를 평문으로 탈취할 수 있습니다.
💡 쉬운 설명
보안 설정을 통해 민감한 정보를 숨기도록 설정해도, 특정 파일 생성 과정에서 중요한 비밀번호가 그대로 노출되는 문제입니다. 이 파일을 손에 넣은 사람은 시스템의 중요한 열쇠를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Insertion of sensitive information into a file in the Recovery Kit response file generation feature in Devolutions Server 2026.1.22.0, 2026.2.11.0 allows an attacker with access to the generated response file to obtain the Azure Key Vault client secret in cleartext, even when the option to exclude sensitive data is selected.
📍 영향받는 시스템
Devolutions Server 2026.1.22.0, 2026.2.11.0
⚔️ 공격 벡터
생성된 Recovery Kit 응답 파일에 대한 직접적인 접근 및 파일 내용 확인
🛡️ 대응 방법
Devolutions에서 제공하는 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 현재 설치된 Devolutions Server의 버전을 확인하여 취약한 버전인지 대조합니다.
rpm -qa | grep -i 'devolutions-server' || dpkg -l | grep -i 'devolutions-server'