🇰🇷 한글 설명
Apache Hadoop의 특정 버전에서 HDFS가 listXAttrs 호출 시 확장 속성(extended attribute)의 키/값 쌍을 노출하는 취약점이 발견되었습니다. 이 과정에서 디렉토리에 대한 경로 수준의 검색 권한만 확인하고, 실제 참조 대상에 대한 경로 수준의 읽기 권한은 검증하지 않는 문제가 있습니다.
💡 쉬운 설명
파일의 상세 정보를 보여주는 기능에서 권한 확인이 제대로 이루어지지 않는 문제입니다. 공격자가 허가되지 않은 파일의 숨겨진 속성 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
In Apache Hadoop 3.0.0-alpha1 to 3.0.0, 2.9.0, 2.8.0 to 2.8.3, and 2.5.0 to 2.7.5, HDFS exposes extended attribute key/value pairs during listXAttrs, verifying only path-level search access to the directory rather than path-level read permission to the referent.
📍 영향받는 시스템
Apache Hadoop 3.0.0-alpha1 ~ 3.0.0, 2.9.0, 2.8.0 ~ 2.8.3, 2.5.0 ~ 2.7.5
⚔️ 공격 벡터
권한이 제한된 사용자가 listXAttrs API를 호출하여 디렉토리 내 파일의 확장 속성 정보를 탈취
🛡️ 대응 방법
Hadoop을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 포함되어 있다면 해당 시스템은 보안 위험이 있습니다.
hadoop version | grep -E '3.0.0|2.9.0|2.8.[0-3]|2.[5-7].[0-5]'