🇰🇷 한글 설명
Hatchet 플랫폼의 Dispatcher gRPC 서비스에서 요청된 워커 ID가 인증된 테넌트의 소유인지 검증하지 않는 취약점이 발견되었습니다. 공격자는 다른 테넌트의 워커 UUID를 추측하여 해당 워커의 레이블을 덮어쓰거나 연결을 끊을 수 있으며, 이는 멀티테넌트 환경에서 데이터 무결성 침해 및 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사용자의 작업 도구(워커)를 마음대로 조작하거나 연결을 끊어버릴 수 있는 보안 결함입니다. 이로 인해 다른 사용자의 작업이 중단되거나 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Hatchet is a platform for orchestrating background tasks, AI agents, and durable workflows at scale. From 0.40.0 until 0.91.1, the Dispatcher gRPC service does not verify that a request's worker ID belongs to the tenant identified by the bearer-token context in Dispatcher/UpsertWorkerLabels and Dispatcher/Unsubscribe. An authenticated owner of any tenant who guesses another tenant's worker UUID can overwrite that worker's affinity labels or disconnect the worker from the dispatcher. This can cause cross-tenant integrity impact and denial of service on multi-tenant Hatchet Cloud or shared self-hosted deployments. Single-tenant deployments are not practically affected because the attacker and target tenant are the same. This issue is fixed in version 0.91.1.
📍 영향받는 시스템
Hatchet platform versions 0.40.0 to 0.91.1
⚔️ 공격 벡터
인증된 공격자가 다른 테넌트의 워커 UUID를 추측하여 Dispatcher/UpsertWorkerLabels 또는 Dispatcher/Unsubscribe API를 호출
🛡️ 대응 방법
Hatchet 버전을 0.91.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.91.1 미만(0.40.0 ~ 0.91.0)인 경우 취약한 상태입니다.
python3 -c 'import hatchet; print(hatchet.__version__)' 2>/dev/null || echo 'Version check failed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:L
💻 영향받는 소프트웨어
VMware Telco Cloud Platform