🇰🇷 한글 설명
sigstore-js 라이브러리 0.7.1 미만 버전에서 getRegistryCredentials() 함수가 Docker 설정 파일의 인증 정보를 처리할 때 발생합니다. 인증 키를 확인할 때 호스트 이름의 완전 일치가 아닌 부분 일치(substring match) 방식을 사용하므로, 특정 레지스트리의 인증 정보가 이름이 유사한 다른 레지스트리로 잘못 전송될 수 있습니다.
💡 쉬운 설명
로그인 정보를 확인할 때 이름이 비슷하기만 하면 엉뚱한 곳에 비밀번호를 보내버리는 보안 허점이 발견되었습니다. 이로 인해 원래 접속하려던 곳이 아닌 다른 곳으로 내 인증 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
sigstore-js provides JavaScript libraries for interacting with Sigstore services. Prior to 0.7.1, getRegistryCredentials() reads credentials from the Docker config file and selects an entry by checking whether any configured auth key contains the target registry string. Because this is a substring match rather than an exact host match, credentials configured for one registry can be selected for and transmitted to a different registry whose hostname has a substring relationship with a configured auth key. This issue is fixed in version 0.7.1.
📍 영향받는 시스템
sigstore-js versions prior to 0.7.1
⚔️ 공격 벡터
공격자가 타겟 레지스트리 이름이 기존 설정된 레지스트리 이름의 일부를 포함하도록 유도하여 인증 정보를 탈취
🛡️ 대응 방법
sigstore-js 라이브러리를 0.7.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 sigstore-js의 버전이 0.7.1 미만인지 확인