🇰🇷 한글 설명
Elastic Cloud Enterprise(ECE)의 인증서 교체 절차 실행 후, 보존되는 데이터에 플랫폼 자격 증명과 인증 기관(CA) 개인키가 포함되며, 권한이 낮은 플랫폼 구성요소도 이를 읽을 수 있습니다. 설치 환경 내 임의의 호스트를 장악한 공격자는 이 정보를 이용해 ECE 컨트롤 플레인과 관리되는 배포 환경 전체를 장악할 수 있습니다.
💡 쉬운 설명
Elastic Cloud Enterprise가 인증서를 바꾼 뒤, 중요한 비밀번호와 보안 키가 일반 권한의 프로그램에서도 읽힐 수 있는 곳에 남습니다. 이 시스템 안의 한 대만 뚫려도 공격자가 전체 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Insertion of Sensitive Information into Externally-Accessible File or Directory (CWE-538) in Elastic Cloud Enterprise (ECE) can lead to privilege escalation via Retrieve Embedded Sensitive Data (CAPEC-37). After the ECE certificate rotation procedure runs, data that it retains contains platform credentials and certificate authority private keys, and lower-privileged platform components can read this data. An attacker who controls any host in the installation can use this data to get full control of the ECE control plane and of the deployments that it manages.
📍 영향받는 시스템
Elastic Cloud Enterprise(ECE) - 인증서 교체 절차를 실행한 설치 환경 (정확한 영향 버전은 Elastic 보안 공지 확인 필요)
⚔️ 공격 벡터
설치 환경 내 임의 호스트에 접근한 공격자가 낮은 권한으로 접근 가능한 파일/디렉터리에서 민감 데이터를 추출해 컨트롤 플레인 권한을 획득
🛡️ 대응 방법
Elastic 공식 보안 공지에서 제공하는 패치 버전으로 업그레이드하고, 인증서 교체 후 잔존 데이터를 삭제하며 노출된 자격 증명과 CA 키를 교체
🔧 검증 코드
출력에 파일 경로가 나오면 해당 파일의 권한(ls -l)을 확인해 일반 사용자가 읽을 수 있는지 점검하고, 결과가 없으면 해당 경로에서 개인키가 노출되지 않은 것입니다.
grep -ril 'BEGIN PRIVATE KEY' /opt/elastic 2>/dev/null | head -n 20
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
VMware Telco Cloud Platform