🇰🇷 한글 설명
Hazelcast 및 Hazelcast Jet의 연결 핸들러에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 이미 인증된 다른 연결의 신원을 도용하여 클러스터 내 데이터에 접근하고 조작할 수 있습니다. 이 취약점을 통해 공격자는 클러스터의 보안 통제를 우회하여 데이터 무결성을 침해할 수 있습니다.
💡 쉬운 설명
해커가 로그인을 하지 않고도 마치 권한이 있는 사용자처럼 속여서 시스템 내부의 중요한 데이터를 훔치거나 마음대로 바꿀 수 있는 문제입니다. 마치 남의 신분증을 몰래 훔쳐서 건물에 들어가는 것과 비슷합니다.
🇺🇸 원문 (English)
The Connection handler in Hazelcast and Hazelcast Jet allows a remote unauthenticated attacker to access and manipulate data in the cluster with the identity of another already authenticated connection. The affected Hazelcast versions are through 4.0.6, 4.1.9, 4.2.5, 5.0.3, and 5.1.2. The affected Hazelcast Jet versions are through 4.5.3.
📍 영향받는 시스템
Hazelcast (4.0.6, 4.1.9, 4.2.5, 5.0.3, 5.1.2 이하 버전), Hazelcast Jet (4.5.3 이하 버전)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 기존 인증된 연결의 세션을 탈취하거나 신원을 도용하는 방식
🛡️ 대응 방법
Hazelcast 및 Hazelcast Jet를 보안 패치가 적용된 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(예: 5.1.2 이후 또는 4.2.5 이후 등)인지 확인하십시오.
java -jar hazelcast.jar --version 2>/dev/null || echo 'Check installed jar version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access