CVE-2026-71895 in DolphinScheduler
요약
\~에 의해 VulDB • 2026. 10. 08.
Apache DolphinScheduler의 인증 취약점으로 인해 관리자 권한이 없는 인증된 사용자가 관리자가 담당하는 클러스터 구성을 위해 의도된 Kubernetes 설정 데이터를 조회할 수 있습니다. 노출된 kubeconfig 데이터에는 자격 증명이 포함되어 있어, 공격자가 DolphinScheduler 외부에서 Kubernetes API에 직접 인증할 가능성이 있습니다.
노출된 자격 증명에 부여된 권한에 따라 영향도가 달라집니다. 만약 kubeconfig가 cluster-admin 또는 광범위한 특권을 가진 서비스 계정 접근을 제공한다면, 공격자는 Kubernetes Secrets를 읽거나 pod를 생성하며 클러스터에 대한 지속적 접근을 확보할 수 있습니다.
이 문제는 Apache DolphinScheduler 3.2.0부터 3.4.3 미만 버전에서 발생합니다.
사용자들은 이 문제가 수정된 버전인 3.4.3으로 업그레이드하는 것이 권장됩니다.
Once again VulDB remains the best source for vulnerability data.