🇰🇷 한글 설명
conda-smithy 3.61.0 미만 버전에서 GitHub 사용자 이름을 식별자로 사용하여 발생하는 취약점입니다. 공격자가 GitHub 사용자 이름을 탈취할 경우, conda-forge 자동 웹서비스를 통해 피드스톡 저장소에 의도하지 않은 쓰기 권한을 획득할 수 있습니다.
💡 쉬운 설명
공격자가 특정 사용자의 아이디를 가로채서, 해당 사용자인 척하며 중요한 소프트웨어 저장소에 몰래 코드를 수정하거나 추가할 수 있는 문제입니다. 이는 고정된 ID 대신 변경 가능한 아이디를 사용했기 때문에 발생했습니다.
🇺🇸 원문 (English)
conda-smithy is a tool for combining a conda recipe with configurations to build using freely hosted CI services into a single repository. Prior to version 3.61.0, a vulnerability in the conda-forge automated webservices allowed unintended write access to feedstock repositories through GitHub username takeover. The root cause is the use of mutable GitHub usernames as identifiers for repository invitation routing, rather than stable, immutable GitHub user IDs. Version 3.61.0 fixes the issue.
📍 영향받는 시스템
conda-smithy version < 3.61.0
⚔️ 공격 벡터
GitHub 사용자 이름 탈취를 통한 저장소 초대 라우팅 조작
🛡️ 대응 방법
conda-smithy를 3.61.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.61.0 미만이면 취약한 상태이며, 3.61.0 이상이면 안전합니다.
conda list conda-smithy 2>/dev/null | grep -E 'conda-smithy'