🇰🇷 한글 설명
SpiceDB 1.34.0부터 1.54.0 버전 사이에서 캐시 키 생성 시 CheckHints를 누락하여 발생하는 보안 취약점입니다. 특정 조건에서 권한 검사 결과가 잘못 캐싱되어, 조건부 권한(caveat)을 충족하지 않았음에도 권한이 있는 것으로 잘못 판단될 수 있습니다.
💡 쉬운 설명
데이터베이스가 권한을 확인하고 그 결과를 저장해두는 과정에서 실수로 잘못된 정보를 저장하는 문제입니다. 이로 인해 특정 조건을 만족하지 않은 사용자에게도 권한이 허용되는 보안 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
SpiceDB is an open source database system for creating and managing security-critical application permissions. From 1.34.0 until 1.54.0, SpiceDB can return PERMISSIONSHIP_HAS_PERMISSION instead of PERMISSIONSHIP_CONDITIONAL_PERMISSION or PERMISSIONSHIP_NO_PERMISSION because checkRequestToKey() and checkRequestToKeyWithCanonical() in internal/dispatch/keys/computed.go omit CheckHints when constructing dispatch Check cache keys. The incorrect result requires a permission combining relations with intersection or exclusion, a subject reachable through caveated and non-caveated branches, LookupResources with a context parameter running concurrently with CheckPermission or CheckBulkPermissions for the same resource and subject, and an enabled dispatch result cache. Under these conditions, a result computed for one hint set can poison the cache entry used by a semantically different authorization check, allowing permission without satisfying the caveat. This issue is fixed in version 1.54.0.
📍 영향받는 시스템
SpiceDB version 1.34.0 to 1.54.0
⚔️ 공격 벡터
특정 조건(교차/배제 관계, 동시성 요청, 캐시 활성화 등)을 조합하여 캐시를 오염시키는 방식
🛡️ 대응 방법
SpiceDB를 1.54.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.34.0에서 1.54.0 사이라면 해당 취약점에 노출된 상태입니다.
spice-db --version 2>/dev/null | grep -E '1\[3-5]\.[0-9]{2}'