🇰🇷 한글 설명
Amazon Redshift Python Connector에서 BrowserAzureOAuth2CredentialsProvider 플러그인 사용 시 SSL 인증서 검증을 건너뛰어, 공격자가 토큰 교환 과정을 가로채 접근 토큰을 탈취할 수 있습니다. 드라이버 2.1.7 이상으로 업그레이드하여 해결해야 합니다.
💡 쉬운 설명
Redshift 데이터베이스 연결 프로그램이 Azure 인증 사용 시 보안 검증을 제대로 하지 않아서, 인터넷에서 누군가 당신의 인증 정보를 훔칠 수 있습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
When the Amazon Redshift Python Connector is configured with the BrowserAzureOAuth2CredentialsProvider plugin, the driver skips the SSL certificate validation step for the Identity Provider. An insecure connection could allow an actor to intercept the token exchange process and retrieve an access token.
This issue has been addressed in driver version 2.1.7. Users should upgrade to address this issue and ensure any forked or derivative code is patched to incorporate the new fixes.
📍 영향받는 시스템
Amazon Redshift Python Connector 버전 2.1.7 미만 (BrowserAzureOAuth2CredentialsProvider 사용 시)
⚔️ 공격 벡터
중간자 공격(MITM)을 통한 SSL 인증서 검증 우회로 토큰 교환 과정 가로채기
🛡️ 대응 방법
Amazon Redshift Python Connector를 2.1.7 이상으로 업그레이드
🔧 검증 코드
버전이 2.1.7 이상이면 안전하고, 2.1.7 미만이면 즉시 업그레이드 필요
pip show redshift-connector | grep Version