🇰🇷 한글 설명
Airbyte 데이터 통합 플랫폼의 connection builder 도커 이미지에서 SSTI(Server-Side Template Injection) 취약점을 통해 인증된 원격 공격자가 임의의 코드를 웹서버 권한으로 실행할 수 있습니다. 공격자는 새 커넥터 테스트 시 민감한 자격증명 정보에 접근할 수 있으며, 0.62.2 버전에서 수정되었습니다.
💡 쉬운 설명
Airbyte 데이터 연결 도구에서 인증된 사용자가 악의적 코드를 입력해 서버 프로그램을 자유롭게 실행할 수 있는 문제입니다. 이를 통해 데이터베이스 비밀번호 등 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Airbyte is a data integration platform for ELT pipelines. Airbyte connection builder docker image is vulnerable to RCE via SSTI which allows an authenticated remote attacker to execute arbitrary code on the server as the web server user. The connection builder is used to create and test new connectors. Sensitive information, such as credentials, could be exposed if a user tested a new connector on a compromised instance. The connection builder does not have access to any data processes. This vulnerability is fixed in 0.62.2.
📍 영향받는 시스템
Airbyte connection builder docker image (버전 0.62.2 미만)
⚔️ 공격 벡터
인증된 사용자가 connection builder 인터페이스에 SSTI 페이로드를 입력하여 임의 코드 실행
🛡️ 대응 방법
Airbyte를 0.62.2 이상 버전으로 즉시 업그레이드하세요.
🔧 검증 코드
출력된 태그(버전)가 0.62.2 이상이면 안전하고, 이하이면 즉시 업데이트가 필요합니다.
docker images | grep airbyte/server | awk '{print $2}'