🇰🇷 한글 설명
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 역할이 여러 OIDC 제공자를 신뢰하는 경우 IAM 역할 정책 검사를 우회할 수 있습니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
💡 쉬운 설명
클라우드 권한을 관리하는 보안 점검 도구에 결함이 있어, 정상적인 검사를 피해 권한 설정이 통과될 수 있습니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, IAM-role policy checks can be bypassed when the role trusts multiple OIDC providers. This issue has been patched in version 1.4.0.
📍 영향받는 시스템
Hulumi 1.4.0 미만 버전 (Pulumi 기반 IAM 역할 정책 검사 사용 환경)
⚔️ 공격 벡터
여러 OIDC 제공자를 신뢰하도록 설정된 IAM 역할에서 정책 검사 로직을 우회하여 부적절한 권한 설정을 통과시킴
🛡️ 대응 방법
Hulumi를 1.4.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약하며, 1.4.0 이상이면 패치가 적용된 것입니다 (pip 외 설치 방식은 해당 패키지 관리자에서 확인).
pip show hulumi 2>/dev/null | grep -i '^version'
💻 영향받는 소프트웨어
VMware Telco Cloud Infrastructure