🇰🇷 한글 설명
Apache DolphinScheduler의 `query-dynamic-sub-workflows` API에서 권한 검증이 누락된 취약점이 발견되었습니다. 인증된 사용자가 권한이 없는 프로젝트의 워크플로우 정보를 조회할 수 있어, 승인되지 않은 정보 유출이 발생할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 자신이 볼 권한이 없는 다른 사람의 작업 계획(워크플로우) 정보까지 몰래 훔쳐볼 수 있는 문제입니다. 이로 인해 중요한 업무 데이터가 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
A missing authorization vulnerability exists in the `query-dynamic-sub-workflows` API of Apache DolphinScheduler. The API does not properly verify whether the authenticated user has permission to access the workflows being queried.
An authenticated user who does not have permission to access a specific project can invoke the API with parameters referencing workflows belonging to that project and retrieve workflow information. This allows users to access workflow data outside their authorized project scope, resulting in unauthorized information disclosure.
This issue affects Apache DolphinScheduler: from 3.2.0 before 3.4.3.
Users are recommended to upgrade to version 3.4.3, which fixes the issue.
📍 영향받는 시스템
Apache DolphinScheduler 3.2.0 버전부터 3.4.3 미만 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 프로젝트의 워크플로우 ID를 API 파라미터에 넣어 호출하여 정보를 탈취함
🛡️ 대응 방법
Apache DolphinScheduler를 취약점이 해결된 3.4.3 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
설치된 DolphinScheduler의 버전을 확인하여 3.4.3 미만인 경우 취약한 상태로 판단합니다.
curl -s http://<target_ip>:<port>/dolphinscheduler/api/v1/query-dynamic-sub-workflows | grep -i 'version' || echo 'Version check required via package manager or application logs'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access