🇰🇷 한글 설명
Spinnaker 오픈소스 배포 플랫폼의 clouddriver pods에서 임의의 명령 실행이 가능한 치명적 취약점입니다. 공격자가 gitrepo artifact를 악용하여 자격증명 노출, 파일 삭제, 리소스 주입 등을 수행할 수 있습니다.
💡 쉬운 설명
Spinnaker 배포 도구에서 해커가 임의로 명령을 실행할 수 있는 심각한 보안 결함이 있습니다. 이를 통해 암호를 훔치거나 파일을 삭제할 수 있습니다.
🇺🇸 원문 (English)
Spinnaker is an open source, multi-cloud continuous delivery platform. In versions prior to 2026.1.0, 2026.0.1, 2025.4.2, and 2025.3.2, a bad actor can execute arbitrary commands very simply on the clouddriver pods. This can expose credentials, remove files, or inject resources easily. Versions 2026.1.0, 2026.0.1, 2025.4.2, and 2025.3.2 contain a patch. As a workaround, disable the gitrepo artifact types.
📍 영향받는 시스템
Spinnaker 2026.1.0, 2026.0.1, 2025.4.2, 2025.3.2 이전 버전
⚔️ 공격 벡터
gitrepo artifact 타입을 통한 clouddriver pods 임의 명령 실행
🛡️ 대응 방법
Spinnaker를 2026.1.0 이상으로 업그레이드하거나 gitrepo artifact types 비활성화
🔧 검증 코드
Docker 이미지 또는 Kubernetes 배포에서 spinnaker 버전 태그를 확인하여 2025.3.2, 2025.4.2, 2026.0.1, 2026.1.0 이상 설치 여부 검증
docker images 2>/dev/null | grep -i spinnaker | head -1 || kubectl get deployment -n spinnaker -o jsonpath='{.items[0].spec.template.spec.containers[0].image}' 2>/dev/null