🇰🇷 한글 설명
lakeFS 1.69.0 이하 버전의 /api/v1/usage-report/summary 엔드포인트에 인증이 없어서 누구나 API 사용량 통계에 접근할 수 있습니다. 서비스 활동이나 가동 상태 같은 간접 정보가 노출될 수 있으며, 버전 1.71.0에서 수정되었습니다.
💡 쉬운 설명
lakeFS 저장소 도구의 특정 기능이 보안 검사 없이 공개되어 있어서 누구나 접근할 수 있습니다. 공격자가 서비스 사용량과 운영 상태 정보를 알아낼 수 있습니다.
🇺🇸 원문 (English)
lakeFS is an open-source tool that transforms object storage into a Git-like repositories. In versions 1.69.0 and below, missing authentication in the /api/v1/usage-report/summary endpoint allows anyone to retrieve aggregate API usage counts. While no sensitive data is disclosed, the endpoint may reveal information about service activity or uptime. This issue is fixed in version 1.71.0 . To workaround the vulnerability, use a load-balancer or application level firewall in order to block the request route /api/v1/usage-report/summary.
📍 영향받는 시스템
lakeFS 버전 1.69.0 이하
⚔️ 공격 벡터
/api/v1/usage-report/summary 엔드포인트에 인증 없이 HTTP GET 요청 전송
🛡️ 대응 방법
버전 1.71.0으로 업그레이드하거나 방화벽/로드밸런서에서 /api/v1/usage-report/summary 경로 차단
🔧 검증 코드
응답이 인증 오류 없이 JSON 데이터를 반환하면 취약, 401/403 오류가 나오면 보호됨
curl -s http://localhost:8000/api/v1/usage-report/summary 2>/dev/null | head -20