🇰🇷 한글 설명
Fides 웹서버의 커넥터 템플릿 업로드 기능에서 발생하는 서비스 거부(DoS) 취약점입니다. 공격자가 악성 압축 파일(zip bomb)을 업로드하여 리소스를 고갈시키고 서비스를 중단시킬 수 있습니다. 이 취약점은 Fides 2.11.0부터 2.15.1 버전까지 영향을 미칩니다.
💡 쉬운 설명
압축을 풀면 엄청나게 커지는 특수한 파일을 올려서 서버를 마비시키는 공격입니다. 서버의 메모리나 CPU를 모두 써버리게 만들어 서비스를 이용하지 못하게 만듭니다.
🇺🇸 원문 (English)
Fides is an open-source privacy engineering platform for managing data privacy requests and privacy regulations. The Fides webserver is vulnerable to a type of Denial of Service (DoS) attack. Attackers can exploit a weakness in the connector template upload feature to upload a malicious zip bomb file, resulting in resource exhaustion and service unavailability for all users of the Fides webserver. This vulnerability affects Fides versions `2.11.0` through `2.15.1`. Exploitation is limited to users with elevated privileges with the `CONNECTOR_TEMPLATE_REGISTER` scope, which includes root users and users with the owner role. The vulnerability has been patched in Fides version `2.16.0`. Users are advised to upgrade to this version or later to secure their systems against this threat. There is no known workaround to remediate this vulnerability without upgrading. If an attack occurs, the impact can be mitigated by manually or automatically restarting the affected container.
📍 영향받는 시스템
Fides versions 2.11.0 through 2.15.1
⚔️ 공격 벡터
CONNECTOR_TEMPLATE_REGISTER 권한을 가진 사용자가 악성 zip bomb 파일을 업로드하여 리소스 고갈 유도
🛡️ 대응 방법
Fides 버전을 2.16.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.16.0 미만(2.11.0~2.15.1 사이)이면 취약한 상태입니다.
pip show fides 2>/dev/null | grep -E 'Version:'