🇰🇷 한글 설명
Apache DolphinScheduler의 하위 워크플로 작업 처리 과정에서 부적절한 권한 부여 취약점이 발견되었습니다. 인증된 사용자가 권한이 없는 프로젝트의 워크플로를 하위 작업으로 참조하여 실행함으로써 프로젝트 수준의 권한 제어를 우회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신이 접근할 수 없는 다른 프로젝트의 작업들을 몰래 실행시킬 수 있는 보안 허점입니다. 이를 통해 허가되지 않은 데이터에 접근하거나 시스템 작업을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
An improper authorization vulnerability exists in the handling of sub-workflow tasks. An authenticated user who does not have permission to access a target project can reference and invoke a workflow belonging to that project through a sub-workflow task.
The system does not properly verify whether the user has permission to execute the referenced workflow or access its project. As a result, the user can bypass project-level authorization controls and cause workflows in unauthorized projects to be executed.
Successful exploitation may allow unauthorized execution of workflow tasks and access to the resources or data available to the target workflow.
This issue affects Apache DolphinScheduler: before 3.4.3.
Users are recommended to upgrade to version 3.4.3, which fixes the issue.
📍 영향받는 시스템
Apache DolphinScheduler 3.4.3 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 프로젝트의 워크플로 ID를 하위 작업으로 호출하여 실행
🛡️ 대응 방법
Apache DolphinScheduler를 보안 패치가 적용된 3.4.3 버전 이상으로 업그레이드
🔧 검증 코드
출력 결과에 3.4.3 이상의 버전 정보가 포함되어 있는지 확인하여 패치 여부를 판단합니다.
curl -s http://<target-ip>:<port>/version | grep -E '3.4.3'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access