🇰🇷 한글 설명
Nextflow의 특정 버전에서 Seqera Platform OIDC 토큰이 저장되는 설정 파일의 권한이 너무 느슨하게 설정되는 취약점이 발견되었습니다. 이로 인해 다중 사용자 환경에서 로컬 사용자가 해당 파일을 읽어 사용자의 권한을 도용할 수 있습니다.
💡 쉬운 설명
로그인 정보가 담긴 비밀 파일이 다른 사람도 읽을 수 있는 상태로 저장되는 문제입니다. 이를 통해 다른 사람이 내 계정인 것처럼 속여 서비스를 이용할 수 있습니다.
🇺🇸 원문 (English)
Nextflow is a DSL for data-driven computational pipelines. From 25.09.2-edge until 25.10.6 and 26.04.3, nextflow auth login writes Seqera Platform OIDC bearer tokens to ${NXF_HOME:-~/.nextflow}/seqera-auth.config through AuthCommandImpl.writeConfig in plugins/nf-tower/src/main/io/seqera/tower/plugin/auth/AuthCommandImpl.groovy without setting restrictive file permissions, allowing the default umask 022 to create the file with mode 0644. On a multi-user POSIX host, a local user who can traverse the victim's home directory can read seqera-auth.config and impersonate the victim against Seqera Platform within the token's scope. Single-user systems and headless CI runners that do not use the interactive login flow are not affected. This issue is fixed in 25.10.6 and 26.04.3.
📍 영향받는 시스템
Nextflow 25.09.2-edge ~ 25.10.6 및 26.04.3
⚔️ 공격 벡터
다중 사용자 POSIX 호스트에서 로컬 사용자가 피해자의 홈 디렉토리에 접근하여 설정 파일을 읽음
🛡️ 대응 방법
Nextflow를 최신 수정 버전인 25.10.6 또는 26.04.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(25.09.2-edge ~ 25.10.6 또는 26.04.3)에 해당하는지 확인합니다.