🇰🇷 한글 설명
Looker의 데이터베이스 연결에서 새 프로젝트를 생성하는 엔드포인트가 'looker'를 예약된 내부 MySQL 데이터베이스로 지정할 수 있습니다. schemas 파라미터의 SQL 인젝션 취약점으로 인해 개발자 권한 사용자가 내부 MySQL 데이터베이스의 SELECT 쿼리를 조작하고 민감 정보를 추출할 수 있습니다. Looker 호스팅 서비스는 이미 완화되었고, 자체 호스팅 인스턴스는 즉시 업그레이드 필요합니다.
💡 쉬운 설명
Looker에서 프로젝트를 만들 때 특정 입력값에 악의적인 SQL 코드를 삽입하면 내부 데이터베이스에서 정보를 빼낼 수 있습니다. 개발자 권한이 있는 사용자가 악용할 수 있는 문제입니다.
🇺🇸 원문 (English)
The Looker endpoint for generating new projects from database connections allows users to specify "looker" as a connection name, which is a reserved internal name for Looker's internal MySQL database. The schemas parameter is vulnerable to SQL injection, enabling attackers to manipulate SELECT queries that are constructed and executed against the internal MySQL database. This vulnerability allows users with developer permissions to extract data from Looker's internal MySQL database.
Looker-hosted and Self-hosted were found to be vulnerable.
This issue has already been mitigated for Looker-hosted instances. No user action is required for these.
Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted.
The versions below have all been updated to protect against this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ :
* 24.12.106
* 24.18.198+
* 25.0.75
* 25.6.63+
* 25.8.45+
* 25.10.33+
* 25.12.1+
* 25.14+
📍 영향받는 시스템
Self-hosted Looker 버전 24.12.106 미만, 24.18.198 미만, 25.0.75 미만, 25.6.63 미만, 25.8.45 미만, 25.10.33 미만, 25.12.1 미만, 25.14 미만 (Looker-hosted는 이미 완화됨)
⚔️ 공격 벡터
개발자 권한 사용자가 새 프로젝트 생성 엔드포인트에서 'looker' 연결명과 함께 schemas 파라미터에 SQL 인젝션 페이로드를 삽입하여 내부 데이터베이스 쿼리 실행
🛡️ 대응 방법
Self-hosted Looker를 패치된 버전(24.12.106, 24.18.198+, 25.0.75, 25.6.63+, 25.8.45+, 25.10.33+, 25.12.1+, 25.14+)으로 즉시 업그레이드
🔧 검증 코드
반환된 버전 번호가 패치된 버전 목록에 포함되면 안전하고, 포함되지 않거나 파일을 찾을 수 없으면 즉시 업그레이드 필요
head -1 /opt/looker/version.txt 2>/dev/null || echo 'Verify version at /opt/looker/version.txt'