kaniko 빌드 도구의 Azure 접근 토큰 유출 (ACR 자격 증명 도우미 정규식 결함)
이미지를 만드는 도구에서 Azure 계정 열쇠가 공격자에게 새어 나갈 수 있습니다!
요약
kaniko 빌드 도구가 빌드에 연결된 Azure 접근 토큰을 공격자가 운영하는 레지스트리 호스트로 보낼 수 있습니다. .azurecr.io 등의 문자열이 들어간 가짜 호스트 이미지를 참조하는 Dockerfile만으로 발생하며, 1.25.20 이전 버전이 해당합니다.
해당 조건
- Azure 서비스 주체, 연합 워크로드 ID 토큰 또는 관리 ID에 접근할 수 있는 빌드
- 직접 통제하지 않는 Dockerfile 또는 빌드 인수
대처법
kaniko를 1.25.20 이상으로 업데이트하세요. 바로 못 하면 빌드 환경에서 Azure 자격 증명을 빼거나 AZURE_ENVIRONMENT=none을 설정하세요. 단, 이 설정은 kaniko의 ACR 인증도 끕니다. 이미 신뢰할 수 없는 빌드를 Azure 계정으로 돌렸다면 그 기간의 Azure 로그를 확인하세요.
당장 못 하면:
설정 파일에 이 줄을 넣으세요:
AZURE_ENVIRONMENT=none
설정을 잘못 바꾸면 서비스가 멈추거나 접속이 막힐 수 있어요. 바꾸기 전에 아래 원문 링크를 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
- 분석 글: pkg.go.dev (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인