🇰🇷 한글 설명
@hulumi/policies 1.3.2 미만 버전에서 GitHub OIDC 신뢰 정책의 AWS IAM 조건 연산자를 제대로 검증하지 못하는 취약점이 발견되었습니다. 공격자는 ForAnyValue:StringLike 연산자를 악용하여 보안 가드레일을 우회하고 와일드카드가 포함된 GitHub Actions OIDC 주체 조건을 숨길 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 특정 규칙을 제대로 확인하지 못하는 허점이 있어, 공격자가 마치 허용된 사용자처럼 위장할 수 있는 문제입니다. 이를 통해 공격자는 보안 감시를 피해 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
@hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. Attackers can use ForAnyValue:StringLike operators to hide wildcard GitHub Actions OIDC subject conditions from security guardrails.
📍 영향받는 시스템
@hulumi/policies versions < 1.3.2
⚔️ 공격 벡터
ForAnyValue:StringLike 연산자를 사용하여 보안 검사 규칙을 우회하는 와일드카드 조건 주입
🛡️ 대응 방법
@hulumi/policies 패키지를 1.3.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.3.2 미만이면 취약한 상태이며, 1.3.2 이상이면 안전합니다.
npm list @hulumi/policies 2>/dev/null | grep '@hulumi/policies@'