🇰🇷 한글 설명
Apache DolphinScheduler에서 권한이 없는 사용자가 민감한 정보에 접근할 수 있는 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 데이터베이스 자격 증명을 포함한 중요한 기밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 허가 없이 시스템의 중요한 비밀번호나 데이터베이스 접속 정보를 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이를 방치하면 시스템 전체의 데이터가 위험해질 수 있습니다.
🇺🇸 원문 (English)
An Exposure of Sensitive Information to an Unauthorized Actor vulnerability exists in Apache DolphinScheduler.
This vulnerability may allow unauthorized actors to access sensitive information, including database credentials.
This issue affects Apache DolphinScheduler versions 3.1.*.
Users are recommended to upgrade to:
* version ≥ 3.2.0 if using 3.1.x
As a temporary workaround, users who cannot upgrade immediately may restrict the exposed management endpoints by setting the following environment variable:
```
MANAGEMENT_ENDPOINTS_WEB_EXPOSURE_INCLUDE=health,metrics,prometheus
```
Alternatively, add the following configuration to the application.yaml file:
```
management:
endpoints:
web:
exposure:
include: health,metrics,prometheus
```
This issue has been reported as CVE-2023-48796:
https://cveprocess.apache.org/cve5/CVE-2023-48796
📍 영향받는 시스템
Apache DolphinScheduler 3.1.* 버전
⚔️ 공격 벡터
노출된 관리 엔드포인트를 통해 권한 없는 사용자가 민감한 정보에 직접 접근
🛡️ 대응 방법
버전을 3.2.0 이상으로 업그레이드하거나, 관리 엔드포인트 노출 범위를 제한하도록 설정 변경
🔧 검증 코드
명령어 실행 결과로 데이터베이스 비밀번호나 민감한 설정값이 평문으로 출력되면 취약한 상태입니다.
curl -s http://<target_host>:<port>/actuator/env | grep -E 'spring.datasource.password|database'