CVE-2023-34236 in GitOps Terraform Controller
요약
\~에 의해 VulDB • 2026. 05. 25.
Weave GitOps Terraform Controller(별칭: Weave TF-controller)는 Flux의 Terraform 리소스를 GitOps 방식으로 조정하기 위한 컨트롤러입니다. Weave GitOps Terraform Controller에서 인증된 원격 공격자가 민감한 정보를 볼 수 있는 취약점이 확인되었습니다. 이 취약점은 Weave GitOps Terraform Runners(`tf-runner`)에서 민감한 데이터가 실수로 출력됨에 기인하며, 이를 통해 pod 로그에 민감한 사용자 데이터가 노출될 수 있습니다. 특히, `tfexec` 객체가 `Stdout`와 `Stderr`를 각각 `os.Stdout`와 `os.Stderr`로 설정할 때 `tfexec.ShowPlan`, `tfexec.ShowPlanRaw`, `tfexec.Output` 함수가 관련됩니다. 인증되지 않은 원격 공격자는 민감한 정보가 포함된 이러한 출력물에 접근하여 취약점을 악용할 수 있으며, 여기에는 Terraform 컨트롤러가 관리하는 리소스에 대한 무단 제어 또는 접근을 얻는 데 사용될 수 있는 구성 정보나 토큰이 포함될 수 있습니다. 성공적인 악용을 통해 공격자는 이러한 민감한 데이터를 활용하여 시스템에 대한 무단 접근 또는 제어를 얻을 가능성이 있습니다. 이 취약점은 Weave GitOps Terraform Controller 버전 `v0.14.4` 및 `v0.15.0-rc.5`에서 해결되었습니다. 사용자는 취약점을 완화하기 위해 해당 버전 중 하나로 업그레이드할 것을 권장합니다. 패치 적용까지의 임시 조치로, 사용자는 Terraform Custom Resource의 runner pod 템플릿을 통해 tf-runners에 환경 변수 `DISABLE_TF_LOGS`를 추가할 수 있습니다. 이를 통해 민감한 정보의 로깅이 방지되고 해당 취약점의 위험이 완화됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.