🇰🇷 한글 설명
Renovate의 특정 버전에서 자식 프로세스를 생성할 때 환경 변수를 허용 목록으로 제한하지 않는 취약점이 발견되었습니다. 이로 인해 npm install이나 postUpgradeTasks와 같은 자식 프로세스가 Renovate 프로세스의 모든 환경 변수에 접근할 수 있어, 내부자 또는 외부 공격자가 민감한 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 새로운 작업을 실행할 때 보안상 필요한 정보만 전달해야 하는데, 모든 비밀번호와 인증 정보를 통째로 넘겨주는 문제입니다. 이를 통해 해커가 시스템에 저장된 중요한 비밀 키를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Renovate versions from 42.68.1 before 42.96.3 and from 43.0.0 before 43.4.4, including the renovate/renovate Docker images, and Mend Renovate CE/EE images (renovate-ce, renovate-ee-server, renovate-ee-worker) from 13.3.0 before 13.6.0, fail to restrict environment variables to an allowlist when spawning child processes. As a result, child processes (e.g. npm install, postUpgradeTasks, postUpdateOptions) gain full access to all environment variables of the Renovate process, allowing insider or outside attackers to exfiltrate secrets accessible to the Renovate deployment.
📍 영향받는 시스템
Renovate 42.68.1 < 42.96.3, 43.0.0 < 43.4.4, Mend Renovate CE/EE 13.3.0 < 13.6.0
⚔️ 공격 벡터
악의적인 postUpgradeTasks 또는 postUpdateOptions 설정을 통해 자식 프로세스에서 환경 변수를 탈취
🛡️ 대응 방법
Renovate 버전을 42.96.3 이상 또는 43.4.4 이상으로, Mend Renovate CE/EE는 13.6.0 이상으로 업데이트
🔧 검증 코드
출력된 이미지 리스트의 버전이 취약한 범위에 포함되는지 확인
docker images | grep -E 'renovate|renovate-ce|renovate-ee'