🇰🇷 한글 설명
tfplan2md 버전 1.26.1 미만에서 Terraform 플랜 JSON 파일을 마크다운으로 변환할 때 민감한 정보가 마스킹되지 않고 노출되는 취약점이 발견되었습니다. AzApi 리소스, AzureDevOps 변수 그룹, Scriban 템플릿 및 계층적 민감도 감지 경로에서 데이터 노출 문제가 발생합니다.
💡 쉬운 설명
Terraform 실행 계획을 보고서로 만드는 과정에서 비밀번호나 인증 키 같은 중요한 정보가 숨겨지지 않고 그대로 글자로 나타나는 문제입니다. 이로 인해 보고서를 보는 사람이 보안 정보를 쉽게 알 수 있게 됩니다.
🇺🇸 원문 (English)
tfplan2md is software for converting Terraform plan JSON files into human-readable Markdown reports. Prior to version 1.26.1, a bug in tfplan2md affected several distinct rendering paths: AzApi resource body properties, AzureDevOps variable groups, Scriban template context variables, and hierarchical sensitivity detection. This caused reports to render values that should have been masked as "(sensitive)" instead. This issue is fixed in v1.26.1. No known workarounds are available.
📍 영향받는 시스템
tfplan2md version < 1.26.1
⚔️ 공격 벡터
민감한 정보가 포함된 Terraform 플랜 파일을 tfplan2md로 변환하여 생성된 마크다운 보고서를 탈취하거나 열람함
🛡️ 대응 방법
tfplan2md를 v1.26.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.26.1보다 낮은지 확인하십시오.
tfplan2md --version 2>/dev/null || echo 'not installed'