🇰🇷 한글 설명
hashi-vault-js 0.5.2 미만 버전에서 API 요청 실패 시 AxiosError를 그대로 다시 던지는 취약점이 발견되었습니다. 이 과정에서 요청 헤더의 X-Vault-Token과 요청 본문의 비밀 데이터가 포함된 설정 객체가 노출될 수 있습니다. 로그 기록 시스템이나 모니터링 도구에 이 오류가 기록될 경우, Vault 토큰과 비밀 정보가 평문으로 노출될 위험이 있습니다.
💡 쉬운 설명
프로그램이 오류를 처리하는 과정에서 비밀번호나 인증 키가 포함된 정보를 로그 파일에 그대로 남겨버리는 문제입니다. 이 로그를 볼 수 있는 사람은 누구나 사용자의 중요한 비밀 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
hashi-vault-js is a Node.js module for interacting with the HashiCorp Vault API. Prior to 0.5.2, every API method in src/Vault.js passes failed requests through parseAxiosError(), which rethrows the raw AxiosError while retaining AxiosError.config and the equivalent response configuration. These objects can contain the X-Vault-Token request header and err.config.data request body, including submitted passwords or secret values. When a consuming application records the caught exception through console logging, structured loggers, monitoring, crash reporting, or an application performance monitoring service, the live Vault token and request secrets can be stored in plaintext and exposed to anyone with access to that output. A stolen token can permit unauthorized access to the Vault instance under the token's policies. This issue is fixed in version 0.5.2.
📍 영향받는 시스템
hashi-vault-js 버전 0.5.2 미만
⚔️ 공격 벡터
오류 발생 시 노출된 로그 파일이나 모니터링 시스템을 통한 정보 탈취
🛡️ 대응 방법
hashi-vault-js를 0.5.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.5.2 미만인지 확인하십시오.