🇰🇷 한글 설명
Terragrunt 1.0.4 미만 버전에서 다운로드된 모듈의 .terragrunt-module-manifest 파일에 포함된 경로를 신뢰하여 발생하는 취약점입니다. 악의적인 모듈이 절대 경로 또는 경로 탐색(traversal) 경로를 포함할 경우, fileManifest.Clean() 과정에서 모듈 캐시 외부의 파일을 삭제할 수 있습니다. 이로 인해 로컬 소스 코드나 설정 파일이 삭제되어 CI/CD 파이프라인이 중단될 수 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 외부 코드를 가져올 때, 그 코드가 명령을 내려서 내 컴퓨터의 중요한 파일을 몰래 지워버릴 수 있는 문제입니다. 이로 인해 작업 중인 프로그램이 망가지거나 자동화 시스템이 멈출 수 있습니다.
🇺🇸 원문 (English)
Terragrunt is a flexible orchestration tool that allows Infrastructure as Code written in OpenTofu or Terraform to scale. Prior to 1.0.4, Terragrunt trusts paths decoded from a downloaded module's .terragrunt-module-manifest during fileManifest.Clean() in internal/util/file.go. A malicious or compromised external module can place absolute or traversal paths in the manifest, causing cleanup to delete files outside the module cache that are accessible to the Terragrunt process before OpenTofu or Terraform executes. This deletion-only primitive can remove local source code or configuration and disrupt CI/CD pipelines. This issue is fixed in version 1.0.4.
📍 영향받는 시스템
Terragrunt 1.0.4 미만 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 외부 모듈의 매니페스트 파일을 통한 경로 탐색 및 파일 삭제
🛡️ 대응 방법
Terragrunt를 최신 버전인 1.0.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.0.4보다 낮으면 취약한 상태이며, 1.0.4 이상이면 안전합니다.
terragrunt --version | grep -E 'v[0-9]+\.[0-9]+\.[0-9]+'