🇰🇷 한글 설명
Buildah의 특정 버전에서 Git 저장소 하위 디렉토리를 다운로드된 빌드 컨텍스트 내로 안전하게 제한하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 Git 저장소나 tar 아카이브를 제공할 경우, 심볼릭 링크를 통해 빌드 컨텍스트 외부의 파일이 빌드 과정에 포함되거나 복사될 수 있습니다.
💡 쉬운 설명
이미지를 만드는 도구인 Buildah가 나쁜 의도를 가진 파일을 처리할 때, 원래 허용된 폴더 밖의 파일까지 몰래 가져올 수 있는 문제입니다. 해커가 만든 특수한 파일을 사용하면 컴퓨터 내의 중요한 파일이 이미지 안에 포함될 위험이 있습니다.
🇺🇸 원문 (English)
Buildah is a tool that facilitates building OCI images. From 1.38.1 until 1.43.2 and 1.44.0, TempDirForURL in define/types.go does not securely confine Git repository subdirectories to the downloaded build context, and downloadToDirectory and stdinToDirectory can follow a Dockerfile symlink left by a partially extracted tar archive. A malicious server supplying a Git repository or tar archive can cause files outside the build context directory to be included in the context or copied into the build. This issue is fixed in versions 1.43.2 and 1.44.0.
📍 영향받는 시스템
Buildah 1.38.1 ~ 1.43.2 및 1.44.0 버전
⚔️ 공격 벡터
악의적인 Git 저장소 또는 심볼릭 링크가 포함된 tar 아카이브를 제공하여 빌드 컨텍스트 외부 파일 탈취
🛡️ 대응 방법
Buildah를 1.43.2 또는 1.44.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.38.1~1.43.2 또는 1.44.0에 해당하면 취약한 상태입니다.
buildah --version 2>/dev/null | grep -E '1(\.([0-9]+)){2,3}\b'