🇰🇷 한글 설명
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 및 플랫폼 인프라 컴포넌트를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 다른 버킷을 대상으로 하는 디코이(decoy) 형제 리소스를 통해 보안 검증을 우회할 수 있는 취약점이 존재합니다. 해당 문제는 1.4.0 버전에서 패치되었습니다.
💡 쉬운 설명
Hulumi라는 클라우드 인프라 도구에 보안 검사를 속일 수 있는 문제가 있었습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, there is a bypass via decoy sibling resources targeting a different bucket. This issue has been patched in version 1.4.0.
📍 영향받는 시스템
Hulumi 1.4.0 미만 버전을 사용하는 Pulumi 기반 인프라 환경
⚔️ 공격 벡터
공격자가 실제 대상이 아닌 다른 버킷을 가리키는 디코이 리소스를 함께 배치해 보안 정책 검사를 우회합니다.
🛡️ 대응 방법
Hulumi를 1.4.0 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 Hulumi 버전이 1.4.0 미만이면 취약하며, 1.4.0 이상이면 패치가 적용된 것입니다.
pulumi plugin ls 2>/dev/null | grep -i hulumi; grep -i hulumi go.mod package.json requirements.txt 2>/dev/null
💻 영향받는 소프트웨어
VMware Telco Cloud Infrastructure