🇰🇷 한글 설명
dbt-mcp 1.17.1 미만 버전에서 DbtMCP.call_tool() 함수가 도구 호출 전후로 원본 인자 딕셔너리를 로그에 기록하는 취약점이 발견되었습니다. DBT_MCP_SERVER_FILE_LOGGING 설정이 활성화된 경우, sql_query, vars, node_selection과 같은 민감한 정보가 dbt-mcp.log 파일에 평문으로 저장되어 노출될 위험이 있습니다.
💡 쉬운 설명
프로그램이 작업 내용을 기록하는 로그 파일에 비밀번호나 중요한 데이터가 암호화되지 않은 채 그대로 저장되는 문제입니다. 이로 인해 로그 파일에 접근할 수 있는 사람이 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
dbt-mcp is a Model Context Protocol server for interacting with dbt. Prior to 1.17.1, DbtMCP.call_tool() in src/dbt_mcp/mcp/server.py logged the raw arguments dictionary at INFO level before each tool call and at ERROR level on exceptions, and configure_file_logging() wrote those records to dbt-mcp.log when DBT_MCP_SERVER_FILE_LOGGING=true, preserving sensitive sql_query, vars, and node_selection values in plaintext without automatic rotation or deletion. This issue is fixed in version 1.17.1.
📍 영향받는 시스템
dbt-mcp 버전 1.17.1 미만
⚔️ 공격 벡터
로그 파일(dbt-mcp.log)에 대한 비인가 접근을 통한 민감 정보 탈취
🛡️ 대응 방법
dbt-mcp를 최신 버전인 1.17.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.17.1보다 낮으면 취약한 상태입니다.
pip show dbt-mcp | grep Version