🇰🇷 한글 설명
GoCD의 26.1.0 미만 버전에서 인증된 일반 사용자가 읽기 전용 API를 통해 소스 제어 URL에 포함된 마스킹되지 않은 자격 증명을 탈취할 수 있는 취약점입니다. 일부 API가 모든 자료 유형에 대해 URL 마스킹을 일관되게 적용하지 않아 발생하며, 26.1.0 버전에서 수정되었습니다.
💡 쉬운 설명
GoCD를 사용하는 일반 사용자가 시스템 설정에 숨겨진 아이디와 비밀번호를 몰래 볼 수 있는 보안 결함입니다. 소스 코드 주소에 비밀번호를 직접 적어둔 경우, 권한이 낮은 사용자도 이를 확인할 수 있습니다.
🇺🇸 원문 (English)
GoCD is a continuous deliver server. Prior to 26.1.0, GoCD can return unmasked credentials that administrators stored in the userinfo portion of source control material URLs through several read-only APIs available to regular authenticated users. Although GoCD recommends dedicated username and password fields or secret-management plugins, legacy configuration permits credentials in material URLs, and not every mixed-use API consistently applies URL masking for every material type. An authenticated user with access to an affected pipeline can obtain credentials embedded in its material URL, while dedicated password fields remain encrypted and are not exposed by this issue. This issue is fixed in version 26.1.0.
📍 영향받는 시스템
GoCD 26.1.0 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 취약한 읽기 전용 API를 호출하여 URL에 포함된 자격 증명을 획득
🛡️ 대응 방법
GoCD를 최신 보안 패치가 적용된 26.1.0 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 26.1.0 미만이면 취약한 상태이며, 26.1.0 이상이면 안전합니다.
curl -s http://<gocd-server>/api/version | grep -E '"version": "[0-9]+\.[0-9]+\.[0-9]+"'
💻 영향받는 소프트웨어
Minecraft Bedrock Dedicated Server