CVE-2020-17519 Apache Flink의 부적절한 접근 제어 취약점

오늘의 신규? 취약점은 

Apache Flink의 

부적절한 접근 제어 취약점 입니다.

 

2020년도 취약점인데 왜 KISA 보호나라에

이제서야 보안공지가 된건지

한번 살펴보도록 하겠습니다.

 

우선 환경부터 살펴보도록 하겠습니다.

 

Apache Flink는 Apache Software Foundation에서 개발한 오픈소스로,

제한되지 않은(스트림) 데이터 세트와 제한된(배치) 데이터 세트에 대한

상태 저장 처리를 위한 오픈 소스 분산 엔진입니다.

 

삼성 SmartThings, NortonLifeRock 등

여러가지 어플리케이션에서 다양하게 사용하고 있습니다.

 

출처: aws 'what is'

 

CVE	제품/서비스명	취약버전	양호버전
CVE-2020-17519	Flink	1.11.0, 1.11.1, 1.11.2	1.11.3 또는 1.12.0

 

해당 취약점은 CVSS 7.5 High 수준이며

공격자가 로컬 파일 시스템의 모든 파일을 읽을 수 있도록 허용합니다.

 

2020년 취약점이 왜 갑자기 KISA 보호나라에 나왔냐면

Flink는 최신 버전이 1.19.0까지 나왔는데

아직까지 취약버전을 쓰는 환경으로 인하여 미국에 피해사례가 보고되고 있어

이를 확인한 KISA에서 내용을 공지한 것으로 보입니다.

 

CVSS 등급도 변경되었는데 2020년도엔

5.0 Medium 등급으로 다소 낮은 점수를 받았는데 

위와 같이 피해사례가 보고되다보니 점수도 정정된것으로 보입니다.

 

취약점 내용을 좀 살펴보자면

JoBManager 프로세스의 REST 인터페이스를 통해

JoBManager 의 로컬 파일 시스템에 있는 모든 파일을 읽을 수 있습니다.

단, JoBManager 프로세스에서 접근할 수 있는 파일로 제한됩니다.

 

 

[참고사이트]
[1] https://www.cisa.gov/news-events/alerts/2024/05/23/cisa-adds-one-known-exploited-vulnerability-catalog 

[2] https://www.cisa.gov/known-exploited-vulnerabilities-catalog

[3] https://lists.apache.org/thread/typ0h03zyfrzjqlnb7plh64df1g2383d

[4] https://nvd.nist.gov/vuln/detail/CVE-2020-17519

[5] https://wins21.co.kr/kor/promotion/information.html?bmain=view&language=KOR&uid=2131

[6] https://aws.amazon.com/ko/what-is/apache-flink/