🇰🇷 한글 설명
AnyCable 1.6.15 미만 버전의 텔레메트리 서브시스템에서 하드코딩된 공개 authToken을 사용하며, 클러스터 지문 생성 시 비밀번호가 포함된 설정 파일과 명령줄 인수를 읽어 처리합니다. 이로 인해 민감한 정보가 포함된 데이터가 해시화되어 외부로 전송될 가능성이 존재합니다.
💡 쉬운 설명
프로그램이 상태를 보고하는 과정에서 보안 비밀번호가 포함된 정보를 암호화하여 외부로 보낼 위험이 있습니다. 비록 비밀번호 자체가 그대로 노출되는 것은 아니지만, 보안상 취약한 방식이 사용되었습니다.
🇺🇸 원문 (English)
AnyCable is a realtime server for reliable two-way communication that supports any backend. Prior to 1.6.15, the telemetry subsystem in telemetry/config.go enables tracking with a hardcoded public authToken, while clusterFingerprint in telemetry/telemetry.go reads the full configuration file and raw os.Args returned by anycableCLIArgs, including values supplied through --secret, --jwt_secret, and --http_rpc_secret. These inputs are passed to generateDigest, where sha256.New produces the hexadecimal fingerprint that is sent as telemetry. The available source therefore does not show raw credentials leaving the process or establish the advisory's claimed confidentiality loss, although the stable fingerprint is derived from secret-bearing configuration and the default telemetry client uses publicly known authentication material. This issue is fixed in version 1.6.15.
📍 영향받는 시스템
AnyCable versions prior to 1.6.15
⚔️ 공격 벡터
텔레메트리 시스템을 통한 민감 정보 기반 지문(Fingerprint) 유출
🛡️ 대응 방법
AnyCable를 1.6.15 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.6.15 이상인지 확인하여 취약점이 해결되었는지 판단합니다.
anycable --version 2>/dev/null | grep -E '1\[\.\]6\.(1[5-9]|[2-9][0-9])'