🇰🇷 한글 설명
Apache DolphinScheduler에서 인증된 사용자가 권한이 없는 프로젝트의 작업 정의를 수정할 수 있는 권한 우회 취약점이 발견되었습니다. 특정 엔드포인트가 작업 정의 코드가 지정된 프로젝트에 속하는지 검증하지 않아, 다른 프로젝트의 작업을 임의로 변경할 수 있습니다. 이로 인해 워크플로우 무결성이 손상되고 작업 실행이 중단될 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신이 관리할 권한이 없는 다른 프로젝트의 작업 설정을 몰래 바꿀 수 있는 보안 결함입니다. 이로 인해 중요한 업무 흐름이 망가지거나 잘못된 작업이 실행될 위험이 있습니다.
🇺🇸 원문 (English)
An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to modify task definitions in projects they are not authorized to access through the /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream endpoint.
The endpoint fails to verify that the task definition identified by code belongs to the project specified by projectCode. An authenticated user can supply the code of a project they are authorized to access together with a task definition code from another project, bypassing project access restrictions and modifying the target task definition and its upstream dependencies.
This vulnerability can compromise workflow integrity and disrupt task execution in unauthorized projects.This issue affects Apache DolphinScheduler: before 3.4.3.
Users are recommended to upgrade to version 3.4.3, which fixes the issue.
📍 영향받는 시스템
Apache DolphinScheduler 3.4.3 미만 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 있는 프로젝트 코드와 권한이 없는 프로젝트의 작업 정의 코드를 조합하여 API 요청을 전송
🛡️ 대응 방법
Apache DolphinScheduler를 보안 패치가 적용된 3.4.3 버전 이상으로 업그레이드
🔧 검증 코드
출력 결과에 3.4.3 이상의 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>:<port>/dolphinscheduler/version | grep -E '3.4.3'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access