🇰🇷 한글 설명
SeaweedFS 4.39 및 이전 버전의 S3 API에서 OIDC JWT를 Authorization 헤더로 직접 전달할 때 IAM 역할의 신뢰 정책을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 연합 사용자가 허가되지 않은 역할을 탈취하여 S3 객체에 대한 읽기, 쓰기 및 삭제 권한을 획득할 수 있습니다.
💡 쉬운 설명
외부 인증 토큰을 사용할 때 해당 사용자가 그 권한을 가질 자격이 있는지 확인하는 절차를 건너뛰는 보안 결함입니다. 공격자는 이를 이용해 권한이 없는 데이터에 접근하거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SeaweedFS is a distributed storage system for files and blobs. In versions 4.39 and earlier, the S3 API accepts an external OIDC JWT sent directly in the Authorization header and maps it to an IAM role without enforcing that role's trust policy, so a federated user can assume a role they are not permitted to hold. The standard STS AssumeRoleWithWebIdentity path rejects such a token when the role's trust policy does not trust the token's federated provider, but the direct S3 bearer path validates only the token itself and then authenticates as the mapped role and evaluates that role's attached S3 permissions. As a result, a valid OIDC user whose token would be denied the role through STS can obtain the role's S3 access, including object read, write, and delete, by presenting the raw OIDC JWT directly to the S3 API. This issue is fixed in version 4.40
📍 영향받는 시스템
SeaweedFS 4.39 및 그 이전 모든 버전
⚔️ 공격 벡터
S3 API의 Authorization 헤더에 유효한 OIDC JWT를 직접 포함하여 전송
🛡️ 대응 방법
SeaweedFS를 버전 4.40 이상으로 업데이트
🔧 검증 코드
명령어 결과에 4.39 이하의 버전 번호가 출력되면 취약한 상태입니다.
seaweedfs --version 2>/dev/null | grep -E '4\[.3][0-9]'