Apache Flink의 경로 탐색
Apache Flink 1.11.0에 도입된 변경 사항(1.11.1 및 1.11.2에서도 릴리스됨)을 통해 공격자는 JobManager 프로세스의 REST 인터페이스를 통해 JobManager의 로컬 파일 시스템에 있는 모든 파일을 읽을 수 있습니다. 액세스는 JobManager 프로세스에서 액세스할 수 있는 파일로 제한됩니다. Flink 인스턴스가 노출된 경우 모든 사용자는 Flink 1.11.3 또는 1.12.0으로 업그레이드해야 합니다. 이 문제는 apache/flink:master의 커밋 b561010b0ee741543c3953306037f00d7a9f0801에서 해결되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 75.00 |
| 악용 신호(KEV 등재) | ×1.50 |
| VPI | 100.00 |
VPI 공식 vpi-v1 기준
필수 조치
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.