🇰🇷 한글 설명
GoCD 12.3.1부터 26.1.0 버전 사이에서 /go/admin/restful/* 경로의 레거시 라우트가 파이프라인 그룹 관리자에게 전체 서버 설정 정보를 노출하는 취약점이 발견되었습니다. 노출된 정보에는 에이전트 자동 등록 키, 웹훅 키, 암호화된 자격 증명 및 관리자 목록이 포함될 수 있습니다. 이로 인해 악의적인 관리자가 가짜 에이전트를 연결하여 다른 그룹의 작업에 개입하거나 아티팩트를 덮어쓸 위험이 있습니다.
💡 쉬운 설명
GoCD의 일부 관리 권한을 가진 사용자가 원래는 볼 수 없는 서버 전체의 중요한 비밀 정보들을 몰래 볼 수 있는 문제입니다. 이를 통해 공격자가 가짜 컴퓨터를 서버에 연결하여 다른 팀의 작업물을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
GoCD is a continuous deliver server. From 12.3.1 until 26.1.0, legacy routes under /go/admin/restful/* expose historical full server configuration to pipeline group administrators instead of restricting responses to configuration for groups they administer. The disclosed configuration can include agent auto-registration keys, webhook invocation keys, encrypted material credentials, and GoCD administrator lists. A malicious pipeline group administrator can use disclosed agent registration data to connect a rogue compatible agent, which can create a higher-complexity path to receiving work or overwriting artifacts associated with other groups. Normal authenticated users are not affected, the endpoint does not modify server configuration, and deployments that restrict pipeline editing to full administrators or configuration repositories are not affected. This issue is fixed in version 26.1.0.
📍 영향받는 시스템
GoCD version 12.3.1 to 26.1.0
⚔️ 공격 벡터
권한이 있는 파이프라인 그룹 관리자가 특정 API 경로(/go/admin/restful/*)를 통해 서버 전체 설정 정보를 탈취
🛡️ 대응 방법
GoCD를 최신 보안 패치가 적용된 버전인 26.1.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(12.3.1 ~ 26.0.x)가 나타나면 업데이트가 필요한 상태입니다.
curl -s http://<GoCD_HOST>:<PORT>/go/api/version | grep -E '"version": "(12\.3\.1|[1-2][0-9]\.|26\.0\.[0-9])"'