🇰🇷 한글 설명
PHP 의존성 관리 도구인 Composer의 특정 버전에서 디버그 모드(-vvv) 사용 시 URL의 사용자 이름 부분에 포함된 인증 정보가 로그에 노출되는 취약점이 발견되었습니다. GitHub 개인 액세스 토큰과 같은 민감한 정보가 AuthHelper 및 Url::sanitize 등의 처리 과정에서 적절히 마스킹되지 않아 발생합니다. 이 문제는 Composer 2.2.29 및 2.10.2 버전에서 수정되었습니다.
💡 쉬운 설명
프로그램이 작동 과정을 자세히 보여주는 '디버그 모드'를 켰을 때, 비밀번호와 같은 중요한 정보가 화면에 그대로 글자로 나타나는 문제입니다. 이를 통해 해커가 사용자의 계정 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Composer is a dependency Manager for the PHP language. Prior to 2.2.29 and 2.10.2, when Composer is run with -vvv debug verbosity, it could print a credential embedded in the username slot of a repository or package URL, such as a GitHub Personal Access Token in https://TOKEN@host/, to debug output because AuthHelper, Url::sanitize, and ProcessExecutor did not sanitize username-only URL credentials. This issue is fixed in versions 2.2.29 and 2.10.2.
📍 영향받는 시스템
Composer versions prior to 2.2.29 and 2.10.2
⚔️ 공격 벡터
디버그 옵션(-vvv)을 사용하여 실행할 때 로그 출력물을 통해 인증 정보 탈취
🛡️ 대응 방법
Composer를 2.2.29 또는 2.10.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.2.29 또는 2.10.2보다 낮은지 확인하여 취약 여부 판단