🇰🇷 한글 설명
Homer 오픈소스 통신 관측 소프트웨어의 V4StatisticsQuery 핸들러에서 발생하는 취약점입니다. 11.0.283 버전 이전에는 사용자가 입력한 rawquery 필드가 SQL 검증 과정을 거치지 않고 DuckDB로 직접 전달됩니다. 이로 인해 인증된 사용자가 FlightSQL 서비스를 통해 접근 가능한 모든 데이터에 대해 임의의 SQL 문을 실행할 수 있습니다.
💡 쉬운 설명
로그를 분석하는 프로그램에 악의적인 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 보안 결함입니다. 권한이 있는 사용자라면 누구나 데이터베이스의 정보를 훔치거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
Homer is open source telecom observability software. Prior to version 11.0.283, the `V4StatisticsQuery` handler passes the user-supplied `rawquery` field directly to DuckDB without calling the `sqlvalidator.ValidateRawSQL` function used throughout the rest of the codebase. Any authenticated user can execute arbitrary SQL statements against all data accessible through the FlightSQL service. Version 11.0.283 patches the issue.
📍 영향받는 시스템
Homer version prior to 11.0.283
⚔️ 공격 벡터
인증된 사용자가 V4StatisticsQuery 핸들러의 rawquery 필드에 악성 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
Homer를 최신 패치 버전인 11.0.283 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 11.0.283 이상의 버전 번호가 포함되어 있으면 안전합니다.
curl -s http://<target_ip>/version | grep -E '11.0.283'