🇰🇷 한글 설명
Atlantis 0.47.1 이하 버전에서 /github-app/setup 엔드포인트의 인증 결함이 발견되었습니다. 공격자는 인증 없이 GitHub App 자격 증명에 접근하여 RSA 개인 키와 웹훅 비밀값을 탈취할 수 있으며, 이를 통해 설치 토큰 생성 및 웹훅 페이로드 위조가 가능합니다.
💡 쉬운 설명
Atlantis라는 프로그램의 설정 페이지가 암호 없이 열려 있어 누구나 중요한 열쇠를 훔칠 수 있는 상태입니다. 해커가 이 열쇠를 가져가면 마치 관리자인 것처럼 속여서 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
Atlantis through 0.47.1 fails to authenticate the /github-app/setup endpoint, allowing unauthenticated attackers to access GitHub App credentials. Attackers can observe or intercept the GitHub redirect during setup to obtain the RSA private key and webhook secret, enabling installation token minting and webhook payload forgery.
📍 영향받는 시스템
Atlantis 0.47.1 및 그 이전 모든 버전
⚔️ 공격 벡터
인증되지 않은 상태에서 특정 엔드포인트(/github-app/setup)에 접근하여 자격 증명 탈취
🛡️ 대응 방법
Atlantis를 0.47.1보다 높은 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.47.1과 같거나 낮으면 취약한 상태입니다.
atlantis version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'