🇰🇷 한글 설명
오픈 소스 데이터 시각화 분석 도구인 DataEase의 ClickHouse 데이터 소스 연결 매개변수 제한 미비로 인해 발생합니다. 공격자는 악의적인 매개변수를 사용하여 서버의 임의 파일을 읽을 수 있습니다. 이 취약점은 v1.18.19 버전에서 수정되었습니다.
💡 쉬운 설명
데이터 시각화 도구의 설정 오류를 이용해 해커가 서버에 저장된 중요한 파일을 몰래 훔쳐볼 수 있는 문제입니다. 데이터베이스 연결 설정 과정에서 보안 검사가 부족하여 발생합니다.
🇺🇸 원문 (English)
DataEase is an open source data visualization analysis tool. Due to the lack of restrictions on the connection parameters for the ClickHouse data source, it is possible to exploit certain malicious parameters to achieve arbitrary file reading. The vulnerability has been fixed in v1.18.19.
📍 영향받는 시스템
DataEase (v1.18.19 미만 버전)
⚔️ 공격 벡터
ClickHouse 데이터 소스 연결 시 조작된 매개변수를 전송하여 임의 파일 읽기 수행
🛡️ 대응 방법
DataEase를 최신 보안 패치가 적용된 v1.18.19 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 1.18.19 이상의 버전 번호가 포함되어 있으면 안전하며, 그렇지 않으면 취약할 수 있습니다.
curl -s http://<target_ip>:<port>/api/version | grep -E '1.18.19'