🇰🇷 한글 설명
Dgraph Alpha의 25.3.5 미만 버전에서 외부 스냅샷 임포트에 사용되는 RPC가 인증 없이 공개 gRPC 포트(:9080)에 노출되는 취약점이 발견되었습니다. 공격자는 인증 없이 스트림 데이터를 전송하여 대상 데이터베이스의 기존 데이터를 삭제하고 새로운 데이터로 교체할 수 있습니다.
💡 쉬운 설명
데이터베이스의 관리용 통로가 잠겨 있지 않아, 누구나 원격에서 데이터베이스 내용을 통째로 지우고 가짜 데이터로 바꿀 수 있는 위험한 상태입니다. 이로 인해 데이터가 완전히 손실되거나 변조될 수 있습니다.
🇺🇸 원문 (English)
Dgraph is an open source distributed GraphQL database. Prior to version 25.3.5, Dgraph Alpha exposes the RPCs used for external snapshot import on the public gRPC port `:9080` without authentication or authorization. As a result, an unauthenticated network client can open `StreamExtSnapshot` and send Badger stream data to the target group’s store. In addition, the receiver calls `Prepare()` before processing the stream. This operation deletes and replaces the existing DB data. Version 25.3.5 patches the issue.
📍 영향받는 시스템
Dgraph Alpha 25.3.5 미만 버전
⚔️ 공격 벡터
인증되지 않은 네트워크 클라이언트가 공개된 gRPC 포트(:9080)를 통해 악성 스냅샷 스트림 전송
🛡️ 대응 방법
Dgraph를 최신 보안 패치가 적용된 버전인 25.3.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 25.3.5 이상의 버전이 표시되지 않으면 취약한 버전일 가능성이 높으므로 즉시 업데이트가 필요합니다.
dgraph_alpha --version 2>/dev/null | grep -E '25\[\.\]3\.[0-5]'