🇰🇷 한글 설명
Apache HBase의 HTTP 기반 Thrift 1 API 서버에서 발생하는 레이스 컨디션 취약점입니다. 이 문제로 인해 인증된 세션이 다른 사용자에게 잘못 적용되어, 인증되지 않은 사용자가 권한을 얻거나 사용자의 신원이 오인될 수 있습니다.
💡 쉬운 설명
서버가 여러 요청을 동시에 처리하는 과정에서 혼선이 생겨, 다른 사람의 로그인 정보를 잘못 가져다 쓰는 문제입니다. 이로 인해 권한이 없는 사람이 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
CVE-2018-8025 describes an issue in Apache HBase that affects the optional "Thrift 1" API server when running over HTTP. There is a race-condition which could lead to authenticated sessions being incorrectly applied to users, e.g. one authenticated user would be considered a different user or an unauthenticated user would be treated as an authenticated user. https://issues.apache.org/jira/browse/HBASE-20664 implements a fix for this issue. It has been fixed in versions: 1.2.6.1, 1.3.2.1, 1.4.5, 2.0.1.
📍 영향받는 시스템
Apache HBase (Thrift 1 API 사용 시) 1.2.6.1 미만, 1.3.2.1 미만, 1.4.5 미만, 2.0.1 미만 버전
⚔️ 공격 벡터
HTTP를 통해 Thrift 1 API 서버에 동시다발적인 요청을 보내 세션 혼선을 유도하는 방식
🛡️ 대응 방법
Apache HBase를 수정된 버전(1.2.6.1, 1.3.2.1, 1.4.5, 2.0.1 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
hbase version | grep -E '1.2.6.1|1.3.2.1|1.4.5|2.0.1'