🇰🇷 한글 설명
dbt에서 문서 서빙(dbt docs serve)을 제공할 때 기본적으로 모든 네트워크 인터페이스(0.0.0.0 또는 ::)에 바인딩되어, 공개 네트워크 환경에서 비보안 HTTP 웹사이트가 노출되는 취약점입니다. 같은 네트워크의 원격 사용자/시스템이 미인증으로 접근할 수 있게 됩니다.
💡 쉬운 설명
dbt 문서 서버가 실수로 모든 사람이 접근 가능한 주소로 열리는 문제입니다. 공개 네트워크에서 누구나 인증 없이 이 서버에 접속하고 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
dbt enables data analysts and engineers to transform their data using the same practices that software engineers use to build applications. Prior to versions 1.6.15, 1.7.15, and 1.8.1, Binding to `INADDR_ANY (0.0.0.0)` or `IN6ADDR_ANY (::)` exposes an application on all network interfaces, increasing the risk of unauthorized access. As stated in the Python docs, a special form for address is accepted instead of a host address: `''` represents `INADDR_ANY`, equivalent to `"0.0.0.0"`. On systems with IPv6, '' represents `IN6ADDR_ANY`, which is equivalent to `"::"`. A user who serves docs on an unsecured public network, may unknowingly be hosting an unsecured (http) web site for any remote user/system to access on the same network. The issue has has been mitigated in dbt-core v1.6.15, dbt-core v1.7.15, and dbt-core v1.8.1 by binding to localhost explicitly by default in `dbt docs serve`.
📍 영향받는 시스템
dbt-core < 1.6.15, < 1.7.15, < 1.8.1
⚔️ 공격 벡터
같은 네트워크의 원격 사용자가 0.0.0.0 또는 ::에 바인딩된 dbt docs serve의 비보안 HTTP 엔드포인트로 접속하여 미인증 접근
🛡️ 대응 방법
dbt-core를 v1.6.15, v1.7.15, v1.8.1 이상으로 업그레이드
🔧 검증 코드
설치된 dbt-core 버전 확인. 1.6.15, 1.7.15, 1.8.1 이상이면 안전, 이하면 취약점 존재
pip show dbt-core | grep Version | awk '{print $2}'