🇰🇷 한글 설명
Apache DolphinScheduler의 Task Group API에서 권한 검증 누락 취약점이 발견되었습니다. 인증된 사용자가 대상 태스크 그룹과 연결된 프로젝트에 대한 접근 권한이 있는지 적절히 확인하지 않아 발생합니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 권한이 없는 다른 프로젝트의 작업 그룹 정보를 마음대로 조회하거나 조작할 수 있는 보안 결함입니다. 이를 통해 허가되지 않은 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
A missing authorization vulnerability exists in the Task Group APIs of Apache DolphinScheduler. The affected APIs do not properly verify whether the authenticated user has permission to access the project associated with the target Task Group.
This issue affects Apache DolphinScheduler: before 3.4.3.
Users are recommended to upgrade to version 3.4.3, which fixes the issue.
📍 영향받는 시스템
Apache DolphinScheduler 3.4.3 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 Task Group API를 호출하여 타 프로젝트 자원에 접근
🛡️ 대응 방법
Apache DolphinScheduler를 취약점이 해결된 3.4.3 버전 이상으로 업그레이드
🔧 검증 코드
출력 결과에 3.4.3 이상의 버전 번호가 포함되어 있으면 안전하며, 그 미만이면 취약한 상태입니다.
curl -s http://<target-ip>:<port>/dolphinscheduler/api/v1/version | grep -E '3.4.3'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access