🇰🇷 한글 설명
Apache Pulsar의 SASL 인증 제공업체에서 관찰 가능한 타이밍 차이 취약점이 발견되었습니다. 공격자는 이를 이용해 서명 검증을 통과하는 위조된 SASL 역할 토큰을 생성할 수 있습니다.
💡 쉬운 설명
인증 과정에서 발생하는 미세한 시간 차이를 이용해 가짜 신분증을 만들어내는 공격입니다. 이를 통해 공격자가 권한이 있는 사용자인 것처럼 속여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Observable timing discrepancy vulnerability in Apache Pulsar SASL Authentication Provider can allow an attacker to forge a SASL Role Token that will pass signature verification.
Users are recommended to upgrade to version 2.11.3, 3.0.2, or 3.1.1 which fixes the issue. Users should also consider updating the configured secret in the `saslJaasServerRoleTokenSignerSecretPath` file.
Any component matching an above version running the SASL Authentication Provider is affected. That includes the Pulsar Broker, Proxy, Websocket Proxy, or Function Worker.
2.11 Pulsar users should upgrade to at least 2.11.3.
3.0 Pulsar users should upgrade to at least 3.0.2.
3.1 Pulsar users should upgrade to at least 3.1.1.
Any users running Pulsar 2.8, 2.9, 2.10, and earlier should upgrade to one of the above patched versions.
For additional details on this attack vector, please refer to https://codahale.com/a-lesson-in-timing-attacks/ .
📍 영향받는 시스템
Apache Pulsar Broker, Proxy, Websocket Proxy, Function Worker (2.11.3, 3.0.2, 3.1.1 미만 버전)
⚔️ 공격 벡터
타이밍 공격(Timing Attack)을 통한 SASL 역할 토큰 위조
🛡️ 대응 방법
Pulsar를 2.11.3, 3.0.2, 3.1.1 이상 버전으로 업그레이드하고 saslJaasServerRoleTokenSignerSecretPath의 비밀키를 교체하십시오.
🔧 검증 코드
출력된 Apache Pulsar 버전을 확인하여 권장되는 보안 패치 버전보다 낮은지 확인합니다.
pulsar-admin clusters list 2>/dev/null && pulsar-admin --version