🇰🇷 한글 설명
Apache Cassandra의 CassandraNetworkAuthorizer 또는 CassandraCIDRAuthorizer 사용 시 발생하는 권한 부여 오류 취약점입니다. 제한된 데이터 센터 접근 권한을 가진 사용자가 DCL 문을 사용하여 자신의 권한을 임의로 업데이트할 수 있습니다.
💡 쉬운 설명
데이터 센터 접근 권한이 제한된 사용자가 스스로 권한을 높여 허용되지 않은 영역에 접근할 수 있는 보안 결함입니다. 마치 출입 제한 구역에 있는 사람이 스스로 마스터 키를 복사하여 사용하는 것과 같습니다.
🇺🇸 원문 (English)
Incorrect Authorization vulnerability in Apache Cassandra allowing users to access a datacenter or IP/CIDR groups they should not be able to when using CassandraNetworkAuthorizer or CassandraCIDRAuthorizer.
Users with restricted data center access can update their own permissions via data control language (DCL) statements on affected versions.
This issue affects Apache Cassandra: from 4.0.0 through 4.0.15 and from 4.1.0 through 4.1.7 for CassandraNetworkAuthorizer, and from 5.0.0 through 5.0.2 for both CassandraNetworkAuthorizer and CassandraCIDRAuthorizer.
Operators using CassandraNetworkAuthorizer or CassandraCIDRAuthorizer on affected versions should review data access rules for potential breaches. Users are recommended to upgrade to versions 4.0.16, 4.1.8, 5.0.3, which fixes the issue.
📍 영향받는 시스템
Apache Cassandra 4.0.0-4.0.15, 4.1.0-4.1.7, 5.0.0-5.0.2
⚔️ 공격 벡터
권한이 제한된 사용자가 데이터 제어 언어(DCL) 문을 사용하여 자신의 권한을 직접 수정
🛡️ 대응 방법
Apache Cassandra를 4.0.16, 4.1.8 또는 5.0.3 이상의 버전으로 업그레이드
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있음을 의미합니다.
cassandra -v | grep -E '4.0\.(0[0-9]|1[0-5])|4.1\.[0-7]|5.0\.[0-2]'