🇰🇷 한글 설명
sealed-env 엔터프라이즈 모드 0.1.0-alpha.1~0.1.0-alpha.3 버전에서 TOTP 비밀이 JWS 페이로드에 평문으로 포함되어 있습니다. JWS 페이로드는 base64 인코딩만 되어 있고 암호화되지 않아, CI 로그, 컨테이너 환경 변수, kubectl 명령 결과, 에러 추적 서비스 등을 통해 관찰한 누구든 TOTP 비밀을 추출할 수 있습니다. 0.1.0-alpha.4 버전에서 수정되었습니다.
💡 쉬운 설명
sealed-env 라이브러리의 초기 버전에서 보안 키가 숨겨지지 않은 채로 전송되었습니다. 누가 로그나 시스템 정보를 보면 그 키를 쉽게 찾을 수 있어서 보안 위험이 되었습니다.
🇺🇸 원문 (English)
sealed-env is a cross-stack, zero-trust secret management library for Node.js and Java/Spring Boot. In sealed-env enterprise mode, versions 0.1.0-alpha.1 through 0.1.0-alpha.3 embedded the operator's literal TOTP secret in the JWS payload of every minted unseal token. JWS payload is base64-encoded JSON, NOT encrypted. Any party who could observe a minted token (CI build logs, container env dumps, kubectl describe pod, Sentry/Rollbar stack traces, log aggregators) could decode the payload and extract the TOTP secret in plaintext. This vulnerability is fixed in 0.1.0-alpha.4.
📍 영향받는 시스템
sealed-env (Node.js/Java/Spring Boot) 0.1.0-alpha.1 ~ 0.1.0-alpha.3 버전
⚔️ 공격 벡터
CI 빌드 로그, 컨테이너 환경 변수 출력, kubectl describe pod 결과, Sentry/Rollbar 스택 트레이스, 로그 수집 서비스 등에서 관찰 가능한 토큰으로부터 base64 디코딩을 통해 TOTP 비밀 추출
🛡️ 대응 방법
sealed-env를 0.1.0-alpha.4 이상으로 즉시 업그레이드
🔧 검증 코드
sealed-env 버전이 0.1.0-alpha.4 이상이면 안전하며, 0.1.0-alpha.1~0.1.0-alpha.3 버전이 설치되어 있으면 즉시 업그레이드 필요입니다.
npm list sealed-env 2>/dev/null | grep sealed-env