🇰🇷 한글 설명
OpenChoreo의 특정 API 엔드포인트에서 웹훅 제공자를 선택할 때 사용자 제어 가능한 키를 사용하며, Bitbucket 요청에 대한 HMAC-SHA256 검증 및 인증 절차가 누락되었습니다. 이로 인해 공격자가 인증 없이 임의의 빌드를 트리거하거나 다른 제공자의 커밋 SHA를 사용하여 교차 제공자 트리거를 실행할 수 있습니다.
💡 쉬운 설명
누구나 인증 없이 특정 소프트웨어 빌드 과정을 강제로 시작할 수 있는 보안 허점이 발견되었습니다. 공격자가 가짜 신호를 보내 시스템을 오작동시키거나 원치 않는 작업을 수행하게 만들 수 있습니다.
🇺🇸 원문 (English)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.0.3, 1.1.3, and 1.2.0-rc.2, the POST /api/v1alpha1/autobuild endpoint in internal/openchoreo-api/api/handlers/webhook_handler.go selected a webhook provider from caller-controlled X-Event-Key, accepted Bitbucket requests without HMAC-SHA256 in X-Hub-Signature or a configured bitbucket-secret, and allowed unauthenticated build triggers for components matched by repository URL and branch, including cross-provider triggers using attacker-supplied commit SHAs. This issue is fixed in versions 1.0.3, 1.1.3, and 1.2.0-rc.2.
📍 영향받는 시스템
OpenChoreo 1.0.3, 1.1.3, 1.2.0-rc.2 미만 버전
⚔️ 공격 벡터
인증되지 않은 상태에서 조작된 X-Event-Key와 커밋 SHA를 포함한 POST 요청을 API 엔드포인트로 전송
🛡️ 대응 방법
OpenChoreo를 버전 1.0.3, 1.1.3 또는 1.2.0-rc.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.0.3, 1.1.3, 1.2.0-rc.2 중 하나이거나 그보다 높은지 확인하십시오.
openchoreo --version 2>/dev/null || echo 'Version check failed'