🇰🇷 한글 설명
Kubernetes 개발 플랫폼인 OpenChoreo의 특정 버전에서 인증 정책이 강제로 비활성화되어 보안 취약점이 발견되었습니다. 이로 인해 인증 없이 API에 접근하여 카탈로그를 읽거나 스캐폴더 로그를 확인하고, 카탈로그 위치를 생성 또는 삭제할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 문이 실수로 항상 열려 있는 상태로 설정되어 있었습니다. 이 때문에 아무나 들어와서 중요한 정보를 보거나 설정을 마음대로 바꿀 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
OpenChoreo is a developer platform for Kubernetes. Prior to 1.0.4, 1.1.4, and 1.2.1, the OpenChoreo Backstage backend hardcoded backend.auth.dangerouslyDisableDefaultAuthPolicy and auth.providers.guest.dangerouslyAllowOutsideDevelopment to true, exposing /api/* without authentication and allowing unauthenticated catalog reads, scaffolder log reads, and catalog location creation or deletion. This issue is fixed in versions 1.0.4, 1.1.4, and 1.2.1.
📍 영향받는 시스템
OpenChoreo 1.0.4, 1.1.4, 1.2.1 미만 버전
⚔️ 공격 벡터
인증 절차 없이 /api/* 경로로 직접 접근하여 권한 없는 요청 수행
🛡️ 대응 방법
OpenChoreo를 최신 보안 패치가 적용된 버전(1.0.4, 1.1.4 또는 1.2.1 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 업데이트가 필요한 상태입니다.
openchoreo --version 2>/dev/null | grep -E '1.0.[4-9]|1.1.[0-3]|1.2.[0-1]'