🇰🇷 한글 설명
Feast 0.66.0 이하 버전에서 JWT 토큰 서명을 검증하기 전에 사용자 신원을 확인하는 결함이 발견되었습니다. 공격자는 하드코딩된 클레임 값이 포함된 검증되지 않은 토큰을 사용하여 모든 역할 기반 액세스 제어(RBAC)를 우회할 수 있습니다. 이를 통해 공격자는 신뢰할 수 있는 내부 신원을 획득하고 서버의 모든 엔티티, 피처 뷰, 데이터 소스 및 권한 정책에 대해 무제한 읽기 및 쓰기 권한을 가질 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 디지털 신분증의 진짜 여부를 확인하지 않는 보안 구멍이 발견되었습니다. 가짜 신분증을 내밀어도 시스템이 그대로 통과시켜주어, 누구나 관리자처럼 모든 데이터를 마음대로 보고 수정할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
Feast through 0.66.0 fails to verify JWT token signatures before establishing user identity, allowing attackers to bypass all role-based access control by presenting an unverified token with a hardcoded claim value. Attackers can obtain trusted internal identity and gain unchecked read and write access to all entities, feature views, data sources, and permission policies on the server.
📍 영향받는 시스템
Feast 0.66.0 및 그 이전의 모든 버전
⚔️ 공격 벡터
서명 검증이 누락된 조작된 JWT 토큰을 전송하여 인증 및 권한 부여 체계 우회
🛡️ 대응 방법
Feast를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.66.0 이하인지 확인하십시오.
pip show feast | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access