🇰🇷 한글 설명
오픈 소스 데이터 분석 플랫폼인 Metabase에서 부적절한 권한 관리 취약점이 발견되었습니다. 권한이 낮은 사용자가 권한이 높은 사용자가 생성한 대시보드 구독에 자신을 추가함으로써, 원래 접근할 수 없는 데이터에 이메일을 통해 접근할 수 있는 문제입니다.
💡 쉬운 설명
데이터를 볼 권한이 적은 사람이 관리자가 설정해둔 데이터 알림 서비스에 몰래 끼어들어 더 많은 정보를 훔쳐볼 수 있는 보안 결함입니다. 이메일로 전달되는 차트와 데이터를 통해 원래는 볼 수 없던 민감한 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Metabase is an open source data analytics platform. Affected versions are subject to Improper Privilege Management. As intended, recipients of dashboards subscriptions can view the data as seen by the creator of that subscription. This allows someone with greater access to data to create a dashboard subscription, add people with fewer data privileges, and all recipients of that subscription receive the same data: the charts shown in the email would abide by the privileges of the user who created the subscription. The issue is users with fewer privileges who can view a dashboard are able to add themselves to a dashboard subscription created by someone with additional data privileges, and thus get access to more data via email. This issue is patched in versions 0.43.7.1, 1.43.7.1, 0.44.6.1, 1.44.6.1, 0.45.2.1, and 1.45.2.1. On Metabase instances running Enterprise Edition, admins can disable the "Subscriptions and Alerts" permission for groups that have restricted data permissions, as a workaround.
📍 영향받는 시스템
Metabase versions prior to 0.43.7.1, 1.43.7.1, 0.44.6.1, 1.44.6.1, 0.45.2.1, 1.45.2.1
⚔️ 공격 벡터
권한이 낮은 사용자가 권한이 높은 사용자의 대시보드 구독 목록에 자신의 계정을 추가하여 데이터를 탈취함
🛡️ 대응 방법
패치된 버전(0.43.7.1, 1.43.7.1, 0.44.6.1, 1.44.6.1, 0.45.2.1, 1.45.2.1 이상)으로 업데이트하거나 Enterprise Edition의 경우 'Subscriptions and Alerts' 권한을 비활성화함
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전 이상인지 확인합니다.
curl -s http://localhost:3000/api/health | grep -oP '(?<=version":")[^"]+'