🇰🇷 한글 설명
Hail은 OIDC ID 토큰의 이메일 주소를 통해 사용자 도메인을 검증하지만, 사용자가 이메일 주소를 변경할 수 있는 취약점이 존재합니다. 공격자는 이메일을 조작하여 권한이 없는 조직의 클러스터 리소스를 사용하거나 Hail Batch 작업을 실행할 수 있습니다.
💡 쉬운 설명
사용자가 자신의 이메일 주소를 가짜로 바꿔서 허가되지 않은 그룹의 컴퓨터 자원을 몰래 사용하는 문제입니다. 이를 통해 남의 비용으로 작업을 돌리거나 시스템 설정을 변경할 위험이 있습니다.
🇺🇸 원문 (English)
Hail is an open-source, general-purpose, Python-based data analysis tool with additional data types and methods for working with genomic data. Hail relies on OpenID Connect (OIDC) email addresses from ID tokens to verify the validity of a user's domain, but because users have the ability to change their email address, they could create accounts and use resources in clusters that they should not have access to. For example, a user could create a Microsoft or Google account and then change their email to `
[email protected]`. This account can then be used to create a Hail Batch account in Hail Batch clusters whose organization domain is `example.org`. The attacker is not able to access private data or impersonate another user, but they would have the ability to run jobs if Hail Batch billing projects are enabled and create Azure Tenants if they have Azure Active Directory Administrator access.
📍 영향받는 시스템
Hail (Open-source Python-based data analysis tool) using OIDC for domain verification
⚔️ 공격 벡터
OIDC 이메일 주소 변경을 통한 도메인 검증 우회 및 권한 상승
🛡️ 대응 방법
이메일 주소 변경 시 도메인 검증을 재수행하도록 업데이트하거나, 이메일 변경 권한을 제한하는 보안 정책 적용
🔧 검증 코드
설치된 Hail의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 확인합니다.
pip show hail 2>/dev/null | grep -E 'Name|Version'