🇰🇷 한글 설명
macOS용 OpenTelemetry.Resources.Host NuGet 패키지에서 신뢰할 수 없는 검색 경로 취약점이 발견되었습니다. 1.16.0-beta.2 미만 버전의 host.id 탐지기는 sh 및 ioreg 실행 파일을 절대 경로가 아닌 이름만으로 실행하여 PATH 환경 변수를 통해 조작될 수 있습니다. 이를 통해 로컬 공격자가 애플리케이션의 보안 컨텍스트에서 임의의 바이너리를 실행하여 권한 상승을 시도할 수 있습니다.
💡 쉬운 설명
프로그램이 특정 도구를 실행할 때 어디에 있는지 정확히 확인하지 않고 이름만 보고 실행하는 허점이 있습니다. 공격자가 가짜 도구를 미리 준비해두면 프로그램이 공격자의 코드를 대신 실행하게 됩니다.
🇺🇸 원문 (English)
`OpenTelemetry.Resources.Host` NuGet package, which provides OpenTelemetry resource detectors for host, is affected by an untrusted search path vulnerability on macOS. Prior to version 1.16.0-beta.2, the `host.id` resource attribute detector launches the `sh` and `ioreg` executables by bare name rather than by absolute path, so both are resolved through the `PATH` environment variable. A local attacker who is less privileged than the host application, and who can influence `PATH` or write to a directory that appears in `PATH` ahead of the system directories, can have an arbitrary binary executed in the application's security context, resulting in local code execution/privilege escalation. This vulnerability only affect macOS hosts - Linux and Windows hosts are unaffected. Version 1.16.0-beta.2 contains a patch. No known workarounds are available.
📍 영향받는 시스템
OpenTelemetry.Resources.Host NuGet package (macOS 환경, 1.16.0-beta.2 미만 버전)
⚔️ 공격 벡터
PATH 환경 변수를 조작하거나 시스템 경로보다 우선순위가 높은 디렉토리에 악성 실행 파일을 배치하여 공격
🛡️ 대응 방법
OpenTelemetry.Resources.Host 패키지를 1.16.0-beta.2 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.16.0-beta.2 미만인지 확인하여 취약 여부를 판단합니다.
dotnet list package | grep OpenTelemetry.Resources.Host
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux