🇰🇷 한글 설명
EDB Hybrid Manager에서 인증되지 않은 공격자가 특정 gRPC 엔드포인트에 직접 접근할 수 있는 결함이 발견되었습니다. 이로 인해 민감한 데이터가 유출되거나 잘못된 데이터 입력으로 인한 서비스 거부(DoS)가 발생할 수 있습니다. 해당 문제는 Istio Gateway의 설정 오류로 인해 인증 및 권한 부여 절차를 우회할 수 있어 발생했습니다.
💡 쉬운 설명
보안 문지기 역할을 하는 설정이 일부 통로를 빠뜨려, 아무나 허가 없이 내부 데이터에 접근하거나 시스템을 마비시킬 수 있는 문제입니다. 문지기가 확인하지 못하는 뒷문이 열려 있는 상태라고 이해하면 됩니다.
🇺🇸 원문 (English)
EDB Hybrid Manager contains a flaw that allows an unauthenticated attacker to directly access certain gRPC endpoints. This could allow an attacker to read potentially sensitive data or possibly cause a denial-of-service by writing malformed data to certain gRPC endpoints. This flaw has been remediated in EDB Hybrid Manager 1.3.3, and customers should consider upgrading to 1.3.3 as soon as possible.
The flaw is due to a misconfiguration in the Istio Gateway, which manages authentication and authorization for the affected endpoints. The security policy relies on an explicit definition of required permissions in the Istio Gateway configuration, and the affected endpoints were not defined in the configuration. This allowed requests to bypass both authentication and authorization within a Hybrid Manager service.
All versions of Hybrid Manager - LTS should be upgraded to 1.3.3, and all versions of Hybrid Manager - Innovation should be upgraded to 2025.12.
📍 영향받는 시스템
EDB Hybrid Manager (LTS 및 Innovation 버전 전체)
⚔️ 공격 벡터
인증되지 않은 공격자가 구성되지 않은 gRPC 엔드포인트로 직접 요청을 보내 권한을 우회함
🛡️ 대응 방법
Hybrid Manager LTS 버전은 1.3.3 이상으로, Innovation 버전은 2025.12 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 패키지 버전이 LTS의 경우 1.3.3 미만인지, Innovation의 경우 2025.12 미만인지 확인하십시오.
rpm -qa | grep -i 'edb-hybrid-manager' || dpkg -l | grep -i 'edb-hybrid-manager'