🇰🇷 한글 설명
Developer 권한을 가진 Looker 사용자가 IBM DB2 드라이버를 사용하여 데이터베이스 연결을 생성할 때, LookML 조작을 통해 악성 명령을 실행할 수 있는 취약점입니다. 드라이버 파라미터에 대한 필터링이 미흡하여 발생하며, Looker 호스팅 및 셀프 호스팅 환경 모두에 영향을 미칩니다.
💡 쉬운 설명
개발자 권한을 가진 사용자가 데이터베이스 연결 설정을 교묘하게 조작하여 시스템에 해로운 명령을 내릴 수 있는 보안 결함입니다. Looker를 직접 설치해서 사용하는 경우 반드시 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
A Looker user with a Developer role could create a database connection using IBM DB2 driver and, by manipulating LookML, cause Looker to execute a malicious command, due to inadequate filtering of the driver's parameters.
Looker-hosted and Self-hosted were found to be vulnerable.
This issue has already been mitigated for Looker-hosted instances. No user action is required for these.
Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted.
The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ :
* 25.0.93+
* 25.6.84+
* 25.12.42+
* 25.14.50+
* 25.16.44+
📍 영향받는 시스템
Looker Self-hosted (25.0.93 미만, 25.6.84 미만, 25.12.42 미만, 25.14.50 미만, 25.16.44 미만 버전)
⚔️ 공격 벡터
Developer 권한 사용자가 IBM DB2 드라이버 파라미터를 조작한 LookML을 생성하여 악성 명령 실행
🛡️ 대응 방법
Self-hosted 사용자는 즉시 패치된 버전(25.0.93+, 25.6.84+, 25.12.42+, 25.14.50+, 25.16.44+ 이상)으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 위에서 명시한 보안 패치 적용 버전 이상인지 확인하십시오.
curl -s https://your-looker-instance/api/info | grep -E 'version'