🇰🇷 한글 설명
Eclipse Dataspace Components 0.1.3에서 0.9.0 버전 사이의 Connector 컴포넌트에서 데이터셋 필터링 미흡 취약점이 발견되었습니다. 특정 데이터셋을 개별적으로 요청할 때 권한 확인 절차가 누락되어, 권한이 없는 사용자가 제한된 데이터셋에 접근할 수 있습니다. 공격자가 데이터셋 ID를 추측할 경우 민감한 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
데이터를 볼 수 있는 권한이 없는 사람도 데이터의 이름(ID)만 알면 몰래 데이터를 볼 수 있는 보안 구멍이 발견되었습니다. 공격자가 여러 이름을 무작위로 대입해 보다 보면 숨겨진 정보를 찾아낼 수 있습니다.
🇺🇸 원문 (English)
In Eclipse Dataspace Components versions 0.1.3 to 0.9.0, the Connector component filters which datasets (= data offers) another party can see in a requested catalog, to ensure that only authorized parties are able to view restricted offers.
However, there is the possibility to request a single dataset, which should be subject to the same filtering process, but currently is missing the correct filtering.
This enables parties to potentially see datasets they should not have access to, thereby exposing sensitive information. Exploiting this vulnerability requires knowing the ID of a restricted dataset, but some IDs may be guessed by trying out many IDs in an automated way.
Affected code:
DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
📍 영향받는 시스템
Eclipse Dataspace Components Connector (versions 0.1.3 to 0.9.0)
⚔️ 공격 벡터
제한된 데이터셋의 ID를 추측하거나 자동화된 도구로 대입하여 개별 데이터셋 요청 API를 호출
🛡️ 대응 방법
Eclipse Dataspace Components를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
소스 코드 내 DatasetResolverImpl 파일의 버전이 취약한 범위(0.1.3~0.9.0)에 해당하는지 확인합니다.
grep -r "DatasetResolverImpl" . | grep "v0.9.0"