🇰🇷 한글 설명
Apache Gravitino의 JobManager에서 인증된 사용자가 검증되지 않은 작업 템플릿 URI를 통해 서버 측 요청 위조(SSRF)를 수행할 수 있는 취약점입니다. 이를 통해 공격자는 내부 네트워크나 클라우드 메타데이터 엔드포인트로 HTTP 요청을 보낼 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 조작된 주소를 입력하여 서버가 내부 네트워크나 중요한 설정 정보에 대신 접속하게 만드는 보안 약점입니다. 이를 통해 서버 내부의 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Authenticated SSRF in Gravitino JobManager allows server-side HTTP requests to internal network and cloud metadata endpoints via unvalidated job template URIs. A vulnerability in Apache Gravitino.
This issue affects Apache Gravitino: from 1.0.0 through 1.2.1.
Users are recommended to upgrade to version 1.3.0, which fixes the issue.
📍 영향받는 시스템
Apache Gravitino 1.0.0 ~ 1.2.1 버전
⚔️ 공격 벡터
인증된 사용자가 검증되지 않은 작업 템플릿 URI를 사용하여 서버 측에서 내부 네트워크로 요청을 유도함
🛡️ 대응 방법
Apache Gravitino를 취약점이 해결된 1.3.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에서 Gravitino의 버전을 확인하여 1.3.0 미만인지 체크합니다.
grep -r "Gravitino" /path/to/your/installation/directory | grep -E 'version|build' || echo 'Version not found'