🇰🇷 한글 설명
TDengine은 사물인터넷 기기에 최적화된 오픈소스 시계열 데이터베이스입니다. 3.4.1.15 이전 버전에서 TDengine Cloud DB 인스턴스의 Data Reader admin_user가 표준 사용자에게 허용되지 않아야 할 create udf 명령을 실행할 수 있는 문제가 있으며, 이 문제는 3.4.1.15 버전에서 수정되었습니다.
💡 쉬운 설명
데이터베이스에서 읽기 권한만 있어야 하는 관리 계정이 본래 허용되지 않은 사용자 정의 함수 생성 작업을 수행할 수 있었습니다. 이 문제는 최신 버전에서 해결되었습니다.
🇺🇸 원문 (English)
TDengine is an open source, time-series database optimized for Internet of Things devices. Prior to 3.4.1.15, a Data Reader admin_user on a TDengine Cloud DB instance could run create udf even though standard users should have read-only permissions for non-database objects and show dnodes and create user were denied. This issue is fixed in version 3.4.1.15.
📍 영향받는 시스템
TDengine 3.4.1.15 미만 버전 (TDengine Cloud DB 인스턴스 포함)
⚔️ 공격 벡터
읽기 전용 권한을 가진 admin_user 계정으로 인증된 공격자가 create udf 명령을 실행하여 권한을 초과한 작업을 수행
🛡️ 대응 방법
TDengine을 3.4.1.15 이상 버전으로 업그레이드하고 Data Reader 계정의 권한을 최소 권한 원칙에 맞게 점검
🔧 검증 코드
출력된 버전이 3.4.1.15 이상이면 패치가 적용된 것이며, 3.4.1.15 미만이면 취약한 버전이므로 업그레이드가 필요합니다.
taos -V 2>/dev/null | grep -i 'version'