🇰🇷 한글 설명
FlyteAdmin 1.1.30 및 이전 버전에서 외부 ID 제공업체를 사용하는 인증된 사용자가 액세스 토큰 및 ID 토큰이 만료된 후에도 계속 사용할 수 있는 취약점이 발견되었습니다. 이 문제는 OAuth2 인증 서버로 FlyteAdmin을 사용하는 경우에는 영향을 받지 않습니다. 현재 master 브랜치에 패치가 제공되어 있습니다.
💡 쉬운 설명
로그인 정보(토큰)의 유효 기간이 지나도 로그아웃되지 않고 계속 사용할 수 있는 보안 결함입니다. 만료된 권한이 유지되어 권한이 없는 사용자가 시스템에 계속 머물 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
FlyteAdmin is the control plane for Flyte responsible for managing entities and administering workflow executions. In versions 1.1.30 and prior, authenticated users using an external identity provider can continue to use Access Tokens and ID Tokens even after they expire. Users who use FlyteAdmin as the OAuth2 Authorization Server are unaffected by this issue. A patch is available on the `master` branch of the repository. As a workaround, rotating signing keys immediately will invalidate all open sessions and force all users to attempt to obtain new tokens. Those who use this workaround should continue to rotate keys until FlyteAdmin has been upgraded and hide FlyteAdmin deployment ingress URL from the internet.
📍 영향받는 시스템
FlyteAdmin 1.1.30 및 이전 버전 (OAuth2 인증 서버로 사용하지 않는 경우)
⚔️ 공격 벡터
만료된 액세스 토큰 또는 ID 토큰을 재사용하여 인증된 세션을 유지함
🛡️ 대응 방법
FlyteAdmin을 최신 패치가 적용된 버전으로 업그레이드하거나, 서명 키를 즉시 교체하여 기존 세션을 무효화하십시오.
🔧 검증 코드
출력된 버전이 1.1.30 이하인 경우 해당 취약점에 노출된 상태입니다.
flyteadmin --version 2>/dev/null | grep -E '1.1.30|([0-9]+\.[0-9]+\.[0-9]+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access