🇰🇷 한글 설명
Data Science Pipelines Operator에서 보안 결함이 발견되었습니다. 이 취약점은 암호학적으로 취약한 의사 난수 생성기(PRNG)를 사용하여 MariaDB 및 MinIO의 인증 정보를 생성하기 때문에, 공격자가 예측 가능한 방식으로 민감한 자격 증명을 탈취할 수 있습니다. 성공적인 공격 시 파이프라인의 모든 아티팩트와 메타데이터에 대한 무단 접근 및 심각한 정보 유출이 발생할 수 있습니다.
💡 쉬운 설명
비밀번호를 만들 때 너무 단순한 규칙을 사용하여 해커가 다음에 나올 비밀번호를 쉽게 맞출 수 있는 문제입니다. 이를 통해 해커가 데이터베이스나 저장소에 몰래 들어와 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Data Science Pipelines Operator. This vulnerability allows an unauthenticated attacker to derive sensitive credentials, such as MariaDB root/user passwords and MinIO access/secret keys, if they can access the MinIO Route or MariaDB Service. The flaw occurs because the operator uses a cryptographically weak pseudo-random number generator (PRNG) to generate these credentials, making them predictable. Successful exploitation could lead to unauthorized access to all pipeline artifacts and metadata, resulting in significant information disclosure.
📍 영향받는 시스템
Data Science Pipelines Operator (취약한 PRNG를 사용하는 버전)
⚔️ 공격 벡터
MinIO Route 또는 MariaDB 서비스에 접근 가능한 공격자가 예측 가능한 난수 패턴을 이용해 자격 증명 탈취
🛡️ 대응 방법
취약한 PRNG를 사용하는 Operator를 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 패키지 목록에서 해당 Operator의 버전을 확인하여 보안 패치 적용 여부를 검토하십시오.
pip list | grep -i 'data-science-pipelines-operator'