🇰🇷 한글 설명
Peppermint 0.5.5 이하 버전의 docker-compose.yml 파일에 JWT 서명용 비밀 키가 하드코딩되어 있습니다. 이를 통해 인증되지 않은 공격자가 임의의 사용자 계정에 대한 세션 토큰을 위조하여 보호된 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 열쇠가 설계도에 그대로 적혀 있어, 누구나 가짜 신분증을 만들어 관리자 권한을 훔칠 수 있는 상태입니다. 공격자는 로그인 없이도 아무 계정이나 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Peppermint through 0.5.5 contains a hardcoded JWT signing secret in docker-compose.yml that allows unauthenticated attackers to forge session tokens for any account. Attackers can use the published secret to mint valid tokens for arbitrary user IDs and access protected endpoints without credentials.
📍 영향받는 시스템
Peppermint 0.5.5 및 그 이전 모든 버전
⚔️ 공격 벡터
하드코딩된 JWT 비밀 키를 이용한 임의의 세션 토큰 위조 및 인증 우회
🛡️ 대응 방법
docker-compose.yml 내의 하드코딩된 비밀 키를 삭제하고 환경 변수나 보안 저장소를 사용하여 무작위 키로 교체하십시오.
🔧 검증 코드
명령어 결과에 실제 비밀 키 값이 포함된 문자열이 출력되면 취약한 상태이며, 환경 변수 참조 형태라면 안전합니다.
grep -r 'JWT_SECRET' . | grep -v 'ENV_VAR_NAME' || echo 'Secret not found or managed via env'