🇰🇷 한글 설명
오픈 소스 데이터 분석 플랫폼인 Metabase의 커스텀 GeoJSON 지도 지원 기능에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. URL 검증이 누락되어 공격자가 환경 변수를 포함한 로컬 파일을 불러올 수 있는 위험이 있습니다.
💡 쉬운 설명
지도 데이터를 설정하는 과정에서 검증되지 않은 주소를 입력할 수 있는 허점이 발견되었습니다. 이를 통해 해커가 서버 내부의 중요한 비밀 정보나 설정 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.
📍 영향받는 시스템
Metabase 0.40.5 미만 및 1.40.5 미만 버전
⚔️ 공격 벡터
커스텀 지도 추가 기능(admin->settings->maps->custom maps)을 통한 악의적인 URL 입력 및 로컬 파일 접근
🛡️ 대응 방법
Metabase를 0.40.5 또는 1.40.5 이상의 최신 버전으로 업데이트하거나, WAF/리버스 프록시에서 URL 검증 필터를 적용하십시오.
🔧 검증 코드
출력된 버전 정보가 0.40.5 또는 1.40.5보다 낮은지 확인하여 취약 여부를 판단합니다.
curl -s http://<METABASE_HOST>:<PORT>/api/health | grep -i 'version' || echo 'Check Metabase version via logs or admin panel'