🇰🇷 한글 설명
SpiceDB는 보안에 중요한 애플리케이션 권한을 생성하고 관리하기 위한 오픈소스 데이터베이스 시스템입니다. 1.49.0부터 1.51.0 버전에서는 로그 레벨이 info일 때 시작 시 출력되는 구성 로그에 평문 비밀번호를 포함한 전체 데이터스토어 DSN이 기록됩니다. 이 문제는 1.51.1 버전에서 수정되었습니다.
💡 쉬운 설명
SpiceDB가 시작될 때 데이터베이스 접속 비밀번호가 로그 파일에 그대로 남을 수 있습니다. 로그를 볼 수 있는 사람은 이 비밀번호를 얻을 수 있습니다.
🇺🇸 원문 (English)
SpiceDB is an open source database system for creating and managing security-critical application permissions. In versions 1.49.0 through 1.51.0, when SpiceDB starts with log level info, the startup "configuration" log will include the full datastore DSN, including the plaintext password, inside DatastoreConfig.URI. This issue has been fixed in version 1.51.1. If users are unable to immediately upgrade, they can work around this issue by changing the log level to warn or error.
📍 영향받는 시스템
SpiceDB 1.49.0 ~ 1.51.0 (로그 레벨 info 사용 시)
⚔️ 공격 벡터
로그 파일 또는 로그 수집 시스템에 접근 가능한 공격자가 기록된 DSN에서 데이터스토어 비밀번호를 탈취
🛡️ 대응 방법
SpiceDB를 1.51.1 이상으로 업그레이드하거나, 즉시 업그레이드가 어려우면 로그 레벨을 warn 또는 error로 변경
🔧 검증 코드
출력된 버전이 1.49.0~1.51.0 범위에 속하고 로그 레벨이 info라면 취약하므로, 1.51.1 이상이거나 로그 레벨이 warn/error이면 안전합니다.
spicedb version 2>/dev/null || docker run --rm authzed/spicedb version 2>/dev/null