[0day-rubbish] StreamSets Transformer 3.17.0 auth-mode none fallback 및 un-sandboxed ScalaDTransform 실행 시 컨테이너 루트 권한 획득 (8.1 primary)
disclosure via Fulldisclosure에 의해 게시됨, 10월 06일 Rubbish Research Team은 StreamSets Inc. (이후 IBM에 인수됨)의 Spark-engine 데이터 파이프라인 플랫폼인 StreamSets Transformer의 취약점을 공개적으로 공개합니다. 해당 취약점은 공식 컨테이너 이미지에서 분석된 버전 3.17.0에서 확인되었습니다.유형: 실패 시 열림(failing-open) 인증 및 샌드박스 미적용 코드 주입. 웹 계층에서는 CWE-306 및 CWE-1188, 인증 측면에서는 CWE-285: 유효한 http.authentication 값이...
