🇰🇷 한글 설명
SpiceDB 1.47.1 미만 버전에서 특정 스키마 구조를 사용할 경우 LookupResources API의 결과가 누락될 수 있는 취약점이 발견되었습니다. 권한 정의 시 합집합(+) 연산 내에서 동일한 관계를 참조하되 한쪽이 다른 권한을 가리키는 경우에 발생하며, 이는 권한 확인 결과의 정확성을 떨어뜨릴 수 있습니다.
💡 쉬운 설명
보안 권한을 관리하는 SpiceDB 시스템에서 특정 설정이 되어 있을 때, 어떤 사용자가 특정 자원에 접근할 수 있는지 확인하는 기능이 제대로 작동하지 않을 수 있습니다. 이 문제는 권한 확인 API 중 하나인 LookupResources에서만 발생하며, 다른 기능은 정상적으로 작동합니다.
🇺🇸 원문 (English)
SpiceDB is an open source database system for creating and managing security-critical application permissions. Prior to version 1.47.1, if a schema includes the following characteristics: permission defined in terms of a union (+) and that union references the same relation on both sides (but one side arrows to a different permission). Then SpiceDB may have missing LookupResources results when checking the permission. This only affects LookupResources; other APIs calculate permissionship correctly. The issue is fixed in version 1.47.1.
📍 영향받는 시스템
SpiceDB 1.47.1 미만 버전
⚔️ 공격 벡터
특정 구조를 가진 스키마를 사용하여 LookupResources API를 호출함으로써 권한 확인 결과의 누락을 유도
🛡️ 대응 방법
SpiceDB를 최신 보안 패치가 적용된 버전인 1.47.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v1.47.1 미만인 경우 해당 취약점에 노출된 상태입니다.
spice-db-version-check() { spice-db --version 2>/dev/null | grep -E 'v1\[\.\d+\.\d+\]'; }; spice-db-version-check