CVE-2022-23506 in Spinnaker
요약
\~에 의해 VulDB • 2026. 06. 08.
Spinnaker는 소프트웨어 변경 사항을 릴리스하기 위한 오픈 소스 멀티 클라우드 지속적 제공 플랫폼이며, Spinnaker의 Rosco 마이크로서비스는 머신 이미지를 생성합니다. 버전 1.29.2, 1.28.4 및 1.27.3 이전의 Rosco는 packer 빌드를 통해 생성된 비밀값을 적절히 마스킹하지 않습니다. 이로 인해 packer 로그 파일에 민감한 AWS 자격 증명이 노출될 수 있습니다. Rosco 버전 1.29.2, 1.28.4 및 1.27.3에는 이 문제에 대한 수정 사항이 포함되어 있습니다. 우회 방법이 제공됩니다. 역할 가정(role assumption)과 IAM 프로필을 통해 수명이 짧은 자격 증명을 사용하는 것이 권장됩니다. 또한, 자격 증명은 roscos bake 구성 속성에 설정하는 대신 Rosco 파드에 대한 볼륨 마운트로 `/home/spinnaker/.aws/credentials` 및 `/home/spinnaker/.aws/config`에 설정할 수 있습니다. 마지막으로 이러한 조치를 취하더라도 장수명 자격 증명보다는 IAM 역할을 사용하는 것이 권장됩니다. 이는 자격 증명 노출 위험을 크게 완화합니다. 사용자가 정적 자격 증명을 사용한 경우, AWS 관련 bake 로그를 모두 삭제하고, 로그 파일 및 bake 작업 로그에 AWS_ACCESS_KEY, SECRET_KEY 및 기타 민감한 데이터가 유입되었는지 평가한 후, 이러한 자격 증명을 회전(교체)하고 해당 자격 증명의 잠재적 부적절 사용 여부를 평가해야 합니다.
Be aware that VulDB is the high quality source for vulnerability data.