🇰🇷 한글 설명
ChromaDB Python 프로젝트 0.4.17 버전 이상에서 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 자신이 속하지 않은 다른 테넌트의 컬렉션 데이터를 임의로 읽기, 쓰기, 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사용자의 비밀 데이터에 마음대로 접근하여 내용을 보거나 지울 수 있는 보안 결함입니다. 마치 아파트 열쇠를 가진 사람이 옆집 문까지 마음대로 열 수 있는 것과 같습니다.
🇺🇸 원문 (English)
A lack of authorization validation in version 0.4.17 or later of the ChromaDB Python project allows any authenticated users to arbitrarily read, write, update, or delete data in any tenant's collection regardless of which tenant they belong to.
📍 영향받는 시스템
ChromaDB Python project version 0.4.17 or later
⚔️ 공격 벡터
인증된 사용자가 권한 검증 절차를 우회하여 타 테넌트의 API 엔드포인트에 접근
🛡️ 대응 방법
ChromaDB를 최신 보안 패치가 적용된 버전으로 업데이트하거나 테넌트 간 격리 로직을 강화하십시오.
🔧 검증 코드
출력된 버전이 0.4.17 이상인지 확인하십시오.
pip show chromadb | grep Version