🇰🇷 한글 설명
OpenFGA v1.8.5에서 v1.11.2 버전 사이에서 특정 Check 호출 시 권한 정책이 부적절하게 적용되는 취약점이 발견되었습니다. 특정 조건의 모델과 튜플 구성이 결합될 경우, 권한이 없는 사용자가 접근을 허용받을 수 있습니다.
💡 쉬운 설명
권한을 확인하는 엔진에서 규칙을 잘못 해석하여, 허가되지 않은 사람이 시스템에 들어올 수 있는 보안 구멍이 발견되었습니다. 특정 조건이 맞물리면 보안 검사를 통과해버리는 문제입니다.
🇺🇸 원문 (English)
OpenFGA is a high-performance and flexible authorization/permission engine built for developers and inspired by Google Zanzibar. OpenFGA v1.8.5 to v1.11.2 ( openfga-0.2.22<= Helm chart <= openfga-0.2.51, v.1.8.5 <= docker <= v.1.11.2) are vulnerable to improper policy enforcement when certain Check calls are executed. The vulnerability requires a model that has a a relation directly assignable by a type bound public access and assignable by type bound non-public access, a tuple assigned for the relation that is a type bound public access, a tuple assigned for the same object with the same relation that is not type bound public access, and a tuple assigned for a different object that has an object ID lexicographically larger with the same user and relation which is not type bound public access. This vulnerability is fixed in v1.11.3.
📍 영향받는 시스템
OpenFGA v1.8.5 ~ v1.11.2 (Helm chart 0.2.22 ~ 0.2.51, Docker 1.8.5 ~ 1.11.2)
⚔️ 공격 벡터
특정 관계와 객체 ID 순서가 설계된 취약한 모델 조건 하에서 Check API 호출을 통한 권한 우회
🛡️ 대응 방법
OpenFGA를 v1.11.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v1.11.3 미만(1.8.5 ~ 1.11.2 범위)인지 확인하십시오.
openfga version 2>/dev/null || docker images | grep openfga