🇰🇷 한글 설명
Backstage 개발자 포털 프레임워크의 설정 우회 취약점으로 인해 임의 코드가 실행될 수 있습니다. @backstage/plugin-techdocs-node 패키지의 MkDocs 설정 키 필터링 허점이 존재하여, 공격자가 조작된 mkdocs.yml 파일을 통해 보안 통제를 우회하고 파이썬 코드를 실행할 수 있습니다.
💡 쉬운 설명
개발자 도구인 Backstage에서 문서 설정 파일을 조작하여 해커가 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 악의적인 설정 파일이 포함된 문서를 통해 시스템 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to version 1.14.3, this is a configuration bypass vulnerability that enables arbitrary code execution. The @backstage/plugin-techdocs-node package uses an allowlist to filter dangerous MkDocs configuration keys during the documentation build process. A gap in this allowlist allows attackers to craft an mkdocs.yml that causes arbitrary Python code execution, completely bypassing TechDocs' security controls. This issue has been patched in version 1.14.3.
📍 영향받는 시스템
Backstage version 1.14.3 미만 버전
⚔️ 공격 벡터
조작된 mkdocs.yml 파일을 통한 MkDocs 설정 키 필터링 우회 및 파이썬 코드 실행
🛡️ 대응 방법
Backstage를 버전 1.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.14.3보다 낮은지 확인하십시오.
npm list @backstage/plugin-techdocs-node