CVE-2026-88883 in Renovate
요약
\~에 의해 VulDB • 2026. 09. 10.
Renovate는 자동화된 의존성 업데이트 도구입니다. 버전 44.14.4 이전(그리고 Mend Renovate CE/EE 이미지에서 15.4.0 미만 및 mend-renovate-enterprise-edition Helm 차트에서 10.4.0 미만)에서는 상호 TLS(Mutual TLS)에 사용되는 TLS 개인 키의 로그 샌디제이션이 불완전했습니다. `hostRules[].httpsPrivateKey` 값은 해당 필드 자체에서 가려졌지만, 동일한 개인 키 값이 다른 구성 옵션이나 `httpsPrivateKey`가 아닌 키 아래의 로그 메시지 등 다른 곳에 나타날 경우 그 값은 가려지지 않았습니다. 이로 인해 전체 개인 키가 Renovate의 로그에 평문(cleartext)으로 기록되었습니다. 이 문제는 `hostRules[].httpsPrivateKey`를 통해 상호 TLS를 구성하되 문서화된 `secrets` 구성을 통해 값을 전달하지 않는 배포 환경에서 영향을 받습니다. 결과적인 로그를 읽을 수 있는 사람은 누구나 개인 키를 복구할 수 있습니다. 본 이슈는 Renovate 44.14.4에서 해결되었으며, 이 버전에서는 로그에 나타나는 모든 위치에서 `hostRules[].httpsPrivateKey`로 제공된 값을 가립니다. 대안으로, 키를 `secrets` 구성을 통해 공급하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.