🇰🇷 한글 설명
Blueprint Studio 2.5.2 미만 버전에서 Git 자격 증명을 저장할 때 credential.helper를 사용하여 사용자 이름과 액세스 토큰을 .git-credentials 파일에 평문으로 저장하는 취약점이 발견되었습니다. 이로 인해 동일한 파일 시스템 권한을 가진 다른 사용자나 프로세스가 민감한 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 비밀번호를 저장할 때 암호화하지 않고 일반 텍스트로 파일에 남겨두는 보안 결함이 있습니다. 이 때문에 컴퓨터를 함께 사용하는 다른 사람이 여러분의 중요한 접속 정보를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Blueprint Studio is a VS Code-like file editor for Home Assistant configuration files. Prior to 2.5.2, Blueprint Studio configured Git's credential.helper store when saving Git credentials, causing Git credential-store to persist usernames and access tokens in plaintext in the .git-credentials file for the user running Home Assistant. Tokens could remain outside Blueprint Studio's intended Home Assistant storage and be read by other users or processes with access to the same filesystem context. The persistent helper configuration also affected later Git operations beyond the immediate Blueprint Studio action. This issue is fixed in version 2.5.2.
📍 영향받는 시스템
Blueprint Studio versions prior to 2.5.2
⚔️ 공격 벡터
동일한 파일 시스템 권한을 가진 로컬 사용자 또는 프로세스를 통한 평문 파일 접근
🛡️ 대응 방법
Blueprint Studio를 2.5.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.5.2 미만이면 취약한 상태이며, 2.5.2 이상이면 안전합니다.
pip show blueprint-studio 2>/dev/null | grep -E 'Version'