🇰🇷 한글 설명
데이터 분석 오픈소스 플랫폼인 Galaxy에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 특정 시각화 또는 페이지의 인코딩된 ID를 알 경우, 해당 데이터를 수정, 삭제 또는 복사할 수 있습니다.
💡 쉬운 설명
Galaxy 플랫폼에서 권한 확인이 제대로 이루어지지 않아, 남의 데이터를 마음대로 지우거나 고칠 수 있는 문제입니다. 데이터의 고유 번호만 알면 누구나 접근할 수 있어 위험합니다.
🇺🇸 원문 (English)
Galaxy is an open-source platform for data analysis. All supported versions of Galaxy are affected prior to 22.01, 22.05, and 23.0 are affected by an insufficient permission check. Unsupported versions are likely affected as far back as the functionality of Visualizations/Pages exists. Due to this issue, an attacker can modify or delete any Galaxy Visualization or Galaxy Page given they know the encoded ID of it. Additionally, they can copy or import any Galaxy Visualization given they know the encoded ID of it. Patches are available for versions 22.01, 22.05, and 23.0. For the changes to take effect, you must restart all Galaxy server processes. There are no supported workarounds.
📍 영향받는 시스템
Galaxy 22.01, 22.05, 23.0 미만 모든 버전 및 지원 종료 버전
⚔️ 공격 벡터
인코딩된 ID를 이용한 권한 없는 데이터 수정, 삭제 및 복사 공격
🛡️ 대응 방법
패치가 적용된 버전(22.01, 22.05, 23.0 이상)으로 업데이트 후 모든 Galaxy 서버 프로세스 재시작
🔧 검증 코드
출력된 Galaxy 버전이 패치가 적용된 버전(22.01, 22.05, 23.0 이상)인지 확인하십시오.
galaxy --version 2>/dev/null || echo 'Check Galaxy version manually'