AWS SDK for pandas Iceberg 쓰기 기능의 SQL 식별자 결함으로 다른 테이블 읽기 가능
AWS 데이터 작업용 파이썬 도구에서 다른 사람의 테이블을 엿볼 수 있습니다.
요약
AWS SDK for pandas(awswrangler)의 Apache Iceberg 쓰기 기능에서 SQL 식별자 처리 결함이 발견되었습니다. 인증된 사용자가 특정 열 이름을 이용해, 더 높은 권한의 주체가 쓰는 테이블을 읽을 수 있습니다. 3.5.2 이상 3.17.0 이하 버전이 해당합니다.
해당 조건
- Glue Data Catalog 메타데이터 수정 권한이 있는 인증된 사용자가 있는 경우
- 더 높은 권한의 주체가 to_iceberg()로 테이블을 쓰는 경우
대처법
3.17.1 이상으로 업데이트하세요. 그 전까지는 테이블 메타데이터를 바꿀 수 있는 권한이 있는 사용자보다 권한이 높은 계정으로 to_iceberg()를 호출하지 마세요. 공유 데이터베이스의 glue:UpdateTable 등 관련 권한도 제한하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · aws.amazon.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인