🇰🇷 한글 설명
Magistrala(구 Mainflux)의 message-readers API가 HTTP 쿼리 문자열에서 값을 읽을 때 검증 없이 직접 SQL 쿼리에 삽입하는 취약점이 발견되었습니다. 이로 인해 인증된 사용자가 PostgreSQL 및 TimescaleDB를 대상으로 SQL 인젝션 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수하게 조작된 명령어를 입력하면 데이터베이스를 마음대로 조작할 수 있는 보안 구멍이 있습니다. 이로 인해 중요한 데이터가 유출되거나 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
Magistrala (formerly Mainflux)'s message-readers API reads a value from the HTTP query string (readers/api/http/transport.go) with no validation and interpolates it directly into raw SQL queries via fmt.Sprintf in both the PostgreSQL reader (readers/postgres/messages.go: ) and the TimescaleDB reader (readers/timescale/messages.go, same pattern), enabling SQL injection by any authenticated user able to query channel messages.
📍 영향받는 시스템
Magistrala (formerly Mainflux) message-readers API (PostgreSQL 및 TimescaleDB 리더 사용 시)
⚔️ 공격 벡터
인증된 사용자가 HTTP 쿼리 스트링에 악의적인 SQL 구문을 삽입하여 API 호출
🛡️ 대응 방법
fmt.Sprintf를 사용한 직접적인 쿼리 생성을 중단하고, 매개변수화된 쿼리(Parameterized Queries)를 사용하도록 코드를 수정하십시오.
🔧 검증 코드
명령어 실행 결과로 SQL 쿼리 생성 부분에 fmt.Sprintf와 %s가 포함된 코드가 출력되면 취약한 상태입니다.
grep -r "fmt.Sprintf(.*%s.*)" readers/postgres/ messages.log readers/timescale/ messages.log