🇰🇷 한글 설명
X-Pack Machine Learning 6.2.4 및 5.6.9 미만 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. manage_ml 권한을 가진 사용자가 악성 데이터가 포함된 작업을 생성하면, 해당 결과를 확인하는 다른 ML 사용자의 민감한 정보를 탈취하거나 파괴적인 동작을 수행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 몰래 악성 코드를 심어놓으면, 다른 관리자가 그 결과를 확인하는 순간 해킹을 당할 수 있는 문제입니다. 이를 통해 관리자의 개인 정보를 훔치거나 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
X-Pack Machine Learning versions before 6.2.4 and 5.6.9 had a cross-site scripting (XSS) vulnerability. Users with manage_ml permissions could create jobs containing malicious data as part of their configuration that could allow the attacker to obtain sensitive information from or perform destructive actions on behalf of other ML users viewing the results of the jobs.
📍 영향받는 시스템
X-Pack Machine Learning versions before 6.2.4 and 5.6.9
⚔️ 공격 벡터
권한을 가진 공격자가 악성 스크립트가 포함된 ML 작업을 생성하여 다른 사용자의 브라우저에서 실행되도록 유도
🛡️ 대응 방법
X-Pack Machine Learning을 6.2.4 또는 5.6.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 6.2.4 또는 5.6.9보다 낮은지 확인하여 취약 여부를 판단합니다.
curl -s -u username:password http://localhost:9200/_cat/version?format=json