🇰🇷 한글 설명
NVIDIA AIStore for Linux 및 Kubernetes의 ETL 관리 API에서 인증 누락 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 GET 또는 POST 요청을 통해 ETL 정보에 접근하거나 기존 ETL 작업을 제어할 수 있습니다. 이로 인해 데이터 처리 파이프라인의 정보 유출 및 무단 중단/시작이 발생하여 데이터 무결성과 가용성이 침해될 수 있습니다.
💡 쉬운 설명
인증 절차가 없는 관리자 페이지를 통해 누구나 데이터 처리 과정을 훔쳐보거나 마음대로 멈출 수 있는 보안 구멍이 발견되었습니다. 공격자가 이 통로를 이용하면 중요한 데이터 처리 작업이 방해받거나 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
NVIDIA AIStore for Linux and Kubernetes contains a missing authorization vulnerability in the ETL management API where an unauthenticated remote attacker may access ETL information or control existing ETL jobs by sending crafted GET or POST requests to an AIStore proxy.
A successful exploit may lead to information disclosure and unauthorized start or stop operations that affect the integrity and availability of ETL data-processing pipelines.
📍 영향받는 시스템
NVIDIA AIStore for Linux and Kubernetes (ETL management API 포함 버전)
⚔️ 공격 벡터
AIStore 프록시에 조작된 GET 또는 POST 요청을 전송하는 원격 공격
🛡️ 대응 방법
NVIDIA에서 제공하는 최신 보안 패치를 적용하고 ETL 관리 API에 대한 적절한 인증 메커니즘을 구성하십시오.
🔧 검증 코드
인증 없이 요청했을 때 200 OK가 반환되면 취약한 상태이며, 401 Unauthorized 또는 403 Forbidden이 반환되어야 안전합니다.
curl -s -I http://<AIStore_Proxy_IP>:<Port>/api/etl/jobs | grep -E 'HTTP/1.1 200|HTTP/1.1 401|HTTP/1.1 403'