Kubeflow Pipelines 공유 파이프라인 권한 우회로 수정·삭제 가능
Kubeflow Pipelines에서 로그인한 누구나 공유 작업 흐름을 고치거나 지울 수 있습니다.
요약
Kubeflow Pipelines의 다중 사용자 API 서버가 공유 파이프라인을 수정하거나 삭제할 때 권한 검사를 건너뛰어, 로그인한 사용자가 공유 파이프라인 정의와 버전을 바꾸거나 지울 수 있습니다. 2.16.1 이전 버전이 해당합니다.
해당 조건
- 다중 사용자 배포 (단일 사용자 설치가 아닌 경우)
- 공격자가 로그인 계정을 가지고 있을 것
대처법
2.16.1 이상으로 업데이트하세요. 공유 파이프라인의 다중 파일 업로드 권한 경로는 이 버전에서 고쳐지지 않으니 공식 공지를 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인