🇰🇷 한글 설명
Vitess 데이터베이스 클러스터링 시스템의 /debug/querylogz, /debug/env 모니터링 페이지에서 사용자 입력이 적절히 이스케이프되지 않아 저장된 XSS 취약점이 발생합니다. text/template을 사용하여 HTML 렌더링 시 공격자가 쿼리 내용에 HTML/JavaScript를 주입하면 다른 사용자 브라우저에서 실행됩니다.
💡 쉬운 설명
Vitess 모니터링 페이지가 위험한 입력을 걸러내지 못해 악의적인 웹 코드가 표시될 수 있습니다. 이를 이용하면 관리자 세션을 탈취하거나 민감한 정보를 유출시킬 수 있습니다.
🇺🇸 원문 (English)
Vitess is a database clustering system for horizontal scaling of MySQL. The /debug/querylogz and /debug/env pages for vtgate and vttablet do not properly escape user input. The result is that queries executed by Vitess can write HTML into the monitoring page at will. These pages are rendered using text/template instead of rendering with a proper HTML templating engine. This vulnerability is fixed in 21.0.1, 20.0.4, and 19.0.8.
📍 영향받는 시스템
Vitess 19.x (19.0.0~19.0.7), 20.x (20.0.0~20.0.3), 21.x (21.0.0)
⚔️ 공격 벡터
/debug/querylogz 또는 /debug/env 페이지의 쿼리 파라미터에 HTML/JavaScript 페이로드 주입하여 저장된 XSS 트리거
🛡️ 대응 방법
Vitess를 19.0.8, 20.0.4, 21.0.1 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 Vitess 버전 확인 후 19.0.8, 20.0.4, 21.0.1 이상이면 안전하고, 그 이하면 취약함
dpkg -l | grep vitess || apt list --installed 2>/dev/null | grep vitess || vitess --version 2>/dev/null