🇰🇷 한글 설명
regclient는 Go 언어로 작성된 Docker 및 OCI 레지스트리 클라이언트입니다. 0.11.5 버전 이전에서는 레지스트리 인증 정보가 외부 서버로 의도치 않게 유출될 수 있는 취약점이 존재합니다. 이 공격이 성립하려면 악의적인 레지스트리 서버나 외부 URL 제한이 없는 레지스트리가 필요합니다.
💡 쉬운 설명
사용자가 가짜 저장소에 접속할 경우, 로그인 정보가 해커의 서버로 몰래 전송될 수 있는 문제입니다. 안전하지 않은 저장소를 이용할 때 개인 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
regclient is a Docker and OCI Registry Client in Go. Prior to version 0.11.5, credentials for a registry may be inadvertently leaked to external servers. A prerequisite for this attack is a malicious registry server, a malicious blob store, or a registry that does not restrict the external URLs for foreign blobs. Version 0.11.5 fixes the issue.
📍 영향받는 시스템
regclient 0.11.5 미만 버전
⚔️ 공격 벡터
악의적인 레지스트리 서버 또는 외부 URL 제한이 없는 레지스트리를 통한 인증 정보 탈취
🛡️ 대응 방법
regclient를 0.11.5 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.11.5보다 낮으면 취약한 상태입니다.
regclient version 2>/dev/null | grep -E '0\.[0-9]{1,2}\.[0-9]{1,2}'