🇰🇷 한글 설명
Looker의 Developer 역할을 가진 공격자가 LookML 프로젝트를 조작하여 Git 디렉토리 삭제 중 경합(race condition)을 악용해 임의 명령 실행을 유발할 수 있습니다. Self-hosted 인스턴스는 즉시 업그레이드 필요하며, Looker-hosted는 이미 완화되었습니다.
💡 쉬운 설명
Looker 분석 도구에서 특정 권한의 사용자가 파일 삭제 과정의 타이밍 결함을 이용해 시스템에 해로운 명령을 실행할 수 있습니다. 자신의 서버에서 운영하는 경우 반드시 업데이트해야 합니다.
🇺🇸 원문 (English)
An attacker with a Looker Developer role could manipulate a LookML project to exploit a race condition during Git directory deletion, leading to arbitrary command execution on the Looker instance.
Looker-hosted and Self-hosted were found to be vulnerable.
This issue has already been mitigated for Looker-hosted instances. No user action is required for these.
Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted.
The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ :
* 24.12.103+
* 24.18.195+
* 25.0.72+
* 25.6.60+
* 25.8.42+
* 25.10.22+
📍 영향받는 시스템
Self-hosted Looker 24.12.102 이하, 24.18.194 이하, 25.0.71 이하, 25.6.59 이하, 25.8.41 이하, 25.10.21 이하
⚔️ 공격 벡터
Looker Developer 역할 사용자가 LookML 프로젝트의 Git 디렉토리 삭제 중 경합 상태를 악용하여 임의 명령 실행
🛡️ 대응 방법
Self-hosted 인스턴스를 24.12.103+, 24.18.195+, 25.0.72+, 25.6.60+, 25.8.42+ 또는 25.10.22+ 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 각 시리즈의 권장 패치 버전(24.12.103+, 24.18.195+, 25.0.72+, 25.6.60+, 25.8.42+, 25.10.22+) 이상이면 패치됨
cat /opt/looker/version.txt 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'