🇰🇷 한글 설명
Dgraph는 오픈소스 분산 GraphQL 데이터베이스이다. 25.3.3 이전 버전에서는 인증 없이 Alpha 노드의 /debug/vars 엔드포인트로 프로세스 명령줄에 접근할 수 있으며, 시작 옵션의 관리자 토큰이 노출될 수 있다. 수정이 불완전하여 /debug/pprof/cmdline만 차단되고 expvar의 /debug/vars 핸들러는 여전히 제공된다.
💡 쉬운 설명
인증 없이 누구나 서버 실행 정보를 볼 수 있는 경로가 열려 있습니다. 그 안에 담긴 관리자 열쇠를 가져가 관리자 권한으로 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
Dgraph is an open source distributed GraphQL database. Prior to 25.3.3, Dgraphl exposes the process command line through the unauthenticated /debug/vars endpoint on Alpha. Because the admin token is commonly supplied via the --security "token=..." startup flag, an unauthenticated attacker can retrieve that token and replay it in the X-Dgraph-AuthToken header to access admin-only endpoints. This is a variant of the previously fixed /debug/pprof/cmdline issue, but the current fix is incomplete because it blocks only /debug/pprof/cmdline and still serves http.DefaultServeMux, which includes expvar's /debug/vars handler. This vulnerability is fixed in 25.3.3.
📍 영향받는 시스템
Dgraph 25.3.3 미만 버전의 Alpha 노드
⚔️ 공격 벡터
미인증 상태에서 /debug/vars 요청으로 명령줄 인자의 관리자 토큰을 획득한 뒤 X-Dgraph-AuthToken 헤더로 관리자 전용 엔드포인트에 접근
🛡️ 대응 방법
Dgraph를 25.3.3 이상으로 업그레이드하고, 디버그 엔드포인트를 외부에 노출하지 않도록 네트워크 접근을 제한
🔧 검증 코드
출력된 버전이 25.3.3 미만이면 취약하며, 25.3.3 이상이면 패치가 적용된 것이다.
dgraph version 2>/dev/null | grep -i 'Dgraph version'