🇰🇷 한글 설명
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 AccountFoundation을 사용하는 경우 CloudTrail 및 Config 감사 로그가 S3 삭제 권한을 가진 주체에 의해 삭제될 수 있었으며, 샌드박스 등급 배포에서는 감사 로그의 불변성이 전혀 보장되지 않았습니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
💡 쉬운 설명
클라우드 보안 설정 도구 Hulumi의 이전 버전에서는 보안 감사 기록(누가 무엇을 했는지 남기는 로그)이 권한이 있는 사용자에 의해 지워질 수 있었습니다. 이 문제는 1.4.0 버전에서 해결되었습니다.
🇺🇸 원문 (English)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, consumers using AccountFoundation could ship an AWS account whose CloudTrail / Config audit logs were deletable by any S3-delete-capable principal — while believing the startup-hardened tier guaranteed tamper-resistance. Sandbox-tier deployments had no audit immutability at all (defects 1 and 3 compounded). This issue has been patched in version 1.4.0.
📍 영향받는 시스템
Hulumi 1.4.0 미만 버전 (AccountFoundation 사용 환경, 특히 샌드박스 등급 배포)
⚔️ 공격 벡터
S3 삭제 권한을 가진 인증된 주체가 CloudTrail/Config 감사 로그 버킷의 로그 파일을 삭제하여 활동 흔적을 은폐
🛡️ 대응 방법
Hulumi를 1.4.0 이상으로 업데이트하고, 감사 로그 S3 버킷에 Object Lock 및 삭제 방지 정책을 적용
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약하며, 1.4.0 이상이면 패치가 적용된 것입니다. 설치 패키지 관리자에 따라 결과가 없을 경우 프로젝트 의존성 파일에서 직접 버전을 확인하세요.
pip show hulumi 2>/dev/null | grep -i version || npm ls hulumi 2>/dev/null || grep -ri 'hulumi' package.json requirements.txt 2>/dev/null
💻 영향받는 소프트웨어
VMware Telco Cloud Infrastructure