🇰🇷 한글 설명
DataLens 비즈니스 인텔리전스 시스템에서 특정 요청을 통해 사용자 정의 자바스크립트 코드를 포함한 특수 차트를 생성할 수 있는 취약점이 발견되었습니다. 이 코드는 이후 해당 차트에 대한 요청 시 보호되지 않은 샌드박스 환경에서 실행되어 보안 위협을 초래할 수 있습니다. 이 문제는 datalens-ui 버전 0.1449.0에서 수정되었습니다.
💡 쉬운 설명
데이터 시각화 도구인 DataLens에서 공격자가 악성 코드가 담긴 차트를 만들어 사용자 컴퓨터에서 몰래 실행시킬 수 있는 결함이 발견되었습니다. 차트를 만드는 권한을 제한하거나 최신 버전으로 업데이트하면 안전합니다.
🇺🇸 원문 (English)
DataLens is a business intelligence and data visualization system. A specifically crafted request allowed the creation of a special chart type with the ability to pass custom javascript code that would later be executed in an unprotected sandbox on subsequent requests to that chart. The problem was fixed in the datalens-ui version `0.1449.0`. Restricting access to the API for creating or modifying charts (`/charts/api/charts/v1/`) would mitigate the issue.
📍 영향받는 시스템
DataLens (datalens-ui 버전 0.1449.0 미만)
⚔️ 공격 벡터
특수하게 조작된 요청을 통해 악성 자바스크립트가 포함된 차트를 생성하고 실행 유도
🛡️ 대응 방법
datalens-ui를 0.1449.0 이상 버전으로 업데이트하거나, 차트 생성/수정 API(/charts/api/charts/v1/)에 대한 접근을 제한함
🔧 검증 코드
출력된 버전 번호가 0.1449.0보다 낮은지 확인하여 취약 여부를 판단합니다.
npm list datalens-ui 2>/dev/null | grep -E 'datalens-ui@'