🇰🇷 한글 설명
Alluxio의 S3 REST 프록시가 기본 설정에서 AWS Signature Version 4 서명을 검증하지 않는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 사용자 신원을 위조하여 서비스 계정을 포함한 모든 사용자로 사칭할 수 있습니다. 이를 통해 임의의 데이터를 읽고, 쓰고, 삭제하는 것이 가능합니다.
💡 쉬운 설명
로그인 확인 절차를 제대로 거치지 않아 누구나 다른 사람인 척 속일 수 있는 보안 구멍이 있습니다. 해커가 관리자 권한을 훔쳐 중요한 파일을 마음대로 보거나 지울 수 있는 매우 위험한 상태입니다.
🇺🇸 원문 (English)
Alluxio's S3 REST proxy fails to verify AWS Signature Version 4 signatures in its default configuration, allowing unauthenticated attackers to spoof user identity. Attackers can extract usernames from unsigned Authorization headers and impersonate any user, including service accounts, to read, write, and delete arbitrary data.
📍 영향받는 시스템
Alluxio S3 REST proxy (default configuration)
⚔️ 공격 벡터
인증되지 않은 공격자가 서명되지 않은 Authorization 헤더를 통해 사용자 신원을 위조하여 접근
🛡️ 대응 방법
S3 REST 프록시 설정에서 AWS Signature Version 4 검증을 활성화하거나 최신 보안 패치를 적용하십시오.
🔧 검증 코드
서명 검증이 실패하지 않고 200 OK 응답이 오면 취약한 상태이며, 403 Forbidden이 발생해야 안전합니다.
curl -I -H 'Authorization: AWS4-HMAC-SHA256 Credential=fake/2026/01/01/us-east-1/s3/aws4_request, SignedHeaders=host;x-amz-date, Signature=fake' http://<alluxio-s3-proxy-endpoint>