CVE-2025-27137 in dependency-track
요약
\~에 의해 VulDB • 2026. 06. 25.
Dependency-Track는 조직이 소프트웨어 공급망의 위험을 식별하고 줄일 수 있도록 하는 구성 요소 분석 플랫폼입니다. Dependency-Track를 사용하면 `SYSTEM_CONFIGURATION` 권한이 있는 사용자는 알림 템플릿을 사용자 정의할 수 있습니다. 템플릿은 Pebble 템플릿 엔진으로 평가됩니다. Pebble에는 임의 파일의 내용을 평가 시 포함할 수 있게 해주는 `include` 태그가 지원됩니다. 버전 4.12.6 이전의 Dependency-Track에서 `SYSTEM_CONFIGURATION` 권한이 있는 사용자는 `/etc/passwd` 또는 `/proc/1/environ`과 같은 민감한 로컬 파일을 `include`하는 알림 템플릿을 작성하여 `include` 태그를 악용할 수 있습니다. 이러한 템플릿을 알림 규칙(즉, "Alert")에 구성하고 해당 알림을 공격자가 통제하는 대상으로 전송하도록 설정하면 민감한 정보가 유출될 수 있습니다. 이 문제는 Dependency-Track 4.12.6에서 수정되었습니다. 수정된 버전에서는 `include` 태그를 더 이상 사용할 수 없으며, 해당 태그 사용 시 템플릿 평가가 실패합니다. 우회 방법으로 신뢰할 수 없는 사용자에게 `SYSTEM_CONFIGURATION` 권한을 할당하지 마십시오. 기본적으로 `SYSTEM_CONFIGURATION` 권한은 `Administrators` 팀 구성원에게만 부여됩니다. 이 권한을 비관리자 사용자나 팀에 할당하는 것 자체가 보안 위험이며, 매우 권장되지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.