🇰🇷 한글 설명
lakeFS에서 삭제된 사용자와 동일한 이름으로 새로운 사용자를 생성할 때, 이전 사용자의 모든 자격증명을 상속받는 인증 오류 취약점입니다. 이미 발급된 자격증명이 자동으로 새 사용자에게 이전되어 권한 상승으로 이어질 수 있습니다.
💡 쉬운 설명
lakeFS에서 지운 계정과 같은 이름으로 새 계정을 만들면 지워진 계정의 모든 권한을 자동으로 갖게 됩니다. 공격자가 이를 악용하면 이전 계정의 접근권으로 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
lakeFS is an open-source tool that transforms object storage into a Git-like repository. Existing lakeFS users who have issued credentials to users who have been deleted are affected by this vulnerability. When creating a new user with the same username as a deleted user, that user will inherit all of the previous user's credentials. This issue has been addressed in release version 1.33.0 and all users are advised to upgrade. The only known workaround for those who cannot upgrade is to not reuse usernames.
📍 영향받는 시스템
lakeFS < 1.33.0
⚔️ 공격 벡터
삭제된 사용자명으로 신규 사용자를 등록하여 이전 자격증명 및 권한 상속
🛡️ 대응 방법
lakeFS를 1.33.0 이상으로 즉시 업그레이드하거나 삭제된 사용자명 재사용 금지
🔧 검증 코드
반환된 버전이 1.33.0 이상이면 안전하며, 이하이거나 접근 불가면 취약함
curl -s http://localhost:8000/api/v1/config 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' || echo 'lakeFS not accessible'