🇰🇷 한글 설명
Lightdash의 Google Chat 및 Microsoft Teams 웹훅 기능에서 서버 측 URL 검증이 누락되어 SSRF(서버 측 요청 위조) 취약점이 존재합니다. 공격자는 예약된 배달 기능을 악용하여 서버가 내부 네트워크, 루프백 주소 또는 클라우드 메타데이터 엔드포인트로 POST 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 Lightdash 서버를 조종하여 내부 네트워크에 숨겨진 중요한 정보나 서버 설정에 접근하도록 만들 수 있는 보안 결함입니다. 이를 통해 서버 내부의 민감한 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Lightdash stores the webhook URL supplied with a scheduled delivery and later posts to it from sendWebhook in packages/backend/src/clients/GoogleChat/GoogleChatClient.ts and in packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts. In affected versions both call fetch on the stored URL directly. The validatePublicHttpUrl helper in packages/backend/src/utils/ssrfProtection.ts, used for MCP server URLs, is not applied on either path, and the webhook fields carry no server-side URL constraint. A user able to create or trigger a scheduled delivery can therefore direct the server to issue POST requests to private, loopback and link-local addresses, including cloud metadata endpoints, and can distinguish reachable internal services from unreachable ones through the resulting errors. The upstream response is never returned to the requester; on a failure status its body is written to the server log instead. Version 1.146.4 routes both clients through postSchedulerWebhook from packages/backend/src/utils/schedulerWebhookValidation rather than calling fetch directly.
📍 영향받는 시스템
Lightdash 1.146.4 미만 버전 (Google Chat 및 Microsoft Teams 클라이언트 사용 시)
⚔️ 공격 벡터
예약된 배달(scheduled delivery) 설정 시 웹훅 URL에 내부 네트워크 또는 메타데이터 주소를 입력하여 POST 요청 유도
🛡️ 대응 방법
Lightdash를 1.146.4 이상의 버전으로 업데이트하여 postSchedulerWebhook 검증 로직을 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 1.146.4보다 낮으면 취약한 상태입니다.
npm list lightdash | grep -E 'lightdash@([0-9]+\.[0-9]+\.[0-9]+)'