🇰🇷 한글 설명
Hulumi는 Pulumi용 보안 기본값 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 CI/cron 환경의 드리프트 탐지 시 일시적인 어댑터 실패가 '이상 없음'으로 캐싱되어 최대 6시간 동안 실제 공격을 가릴 수 있었고, 일반적인 프로바이더 버전 변경이 사고 등급으로 잘못 상향될 수도 있었습니다. 1.4.0에서 패치되었습니다.
💡 쉬운 설명
인프라 변경 감지 도구가 일시적 오류를 정상으로 잘못 기록하여 실제 공격을 최대 6시간 동안 놓칠 수 있었습니다. 반대로 정상적인 업데이트를 심각한 사고로 잘못 판단하기도 했습니다.
🇺🇸 원문 (English)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, consumers running drift detection in CI / cron could see transient adapter failures silently cached as "all clear" — masking real attacks for up to six hours — or see ordinary provider-version churn falsely promoted to incident severity. Either way, the verdict source was unreliable for downstream incident workflows that gate on it. This issue has been patched in version 1.4.0.
📍 영향받는 시스템
Hulumi 1.4.0 이전 버전 (Pulumi 기반 드리프트 탐지를 사용하는 CI/CD 및 cron 환경)
⚔️ 공격 벡터
공격자가 어댑터 실패를 유발하거나 일시적 오류 시점에 인프라를 변경하면, 탐지 결과가 '정상'으로 캐싱되어 변경 사실이 가려집니다.
🛡️ 대응 방법
Hulumi를 1.4.0 이상으로 업그레이드하고, 드리프트 탐지 결과 캐시를 점검 및 필요 시 재검증합니다.
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약하므로 업그레이드가 필요하고, 1.4.0 이상이면 패치가 적용된 상태입니다. 아무 결과도 없으면 해당 패키지가 설치되지 않은 것입니다.
pip show hulumi 2>/dev/null | grep -i version || npm ls hulumi 2>/dev/null || cat go.mod 2>/dev/null | grep -i hulumi