CVE-2023-39348 in Spinnaker
要約
〜によって VulDB • 2026年05月28日
Spinnakerは、オープンソースのマルチクラウド継続的デリバリープラットフォームです。GitHubステータスの更新時のログ出力が常にFULLに不適切に設定されています。パッチを適用し、GitHubステータス通知に使用されるGitHubトークンをローテーション（再発行）することが推奨されます。この問題によりGitHubトークンがログシステムに出力されるため、トークンの漏洩により制御外のリポジトリへの昇格されたアクセスが許可される可能性があることから、リスクは「低（low）」よりもやや高くなります。読み取り専用（READ restricted）のトークンを使用している場合、漏洩したトークン自体が、本来読み取りアクセスが制限されているリソースへのアクセスに使用される可能性があります。この問題はGitHubステータス通知を使用しているユーザーにのみ影響します。この問題はプルリクエスト1316で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードが不可能なユーザーは、GHステータス通知を無効にし、ログをフィルタリングしてEchoログデータを抽出し、スコープが限定された読み取り専用トークンを使用する必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.