🇰🇷 한글 설명
Metabase 0.63.1 미만 버전에서 용어 사전(glossary) API 엔드포인트에 대한 데이터 분석가 권한 검사가 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증된 모든 사용자가 권한 없이 용어 사전 항목을 생성, 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 회사의 중요한 데이터 용어 설명을 마음대로 바꾸거나 지울 수 있는 보안 결함입니다. 데이터의 정의가 잘못 수정될 경우 분석 결과에 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
Metabase versions before 0.63.1 fail to enforce data analyst permission checks on glossary API endpoints, allowing any authenticated user to create, modify, and delete glossary entries. Attackers can submit requests to POST, PUT, and DELETE glossary endpoints to tamper with instance-wide business glossary data without proper authorization.
📍 영향받는 시스템
Metabase versions before 0.63.1
⚔️ 공격 벡터
인증된 사용자가 권한 없이 POST, PUT, DELETE 요청을 용어 사전 API 엔드포인트로 전송
🛡️ 대응 방법
Metabase를 0.63.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.63.1 미만인지 확인하십시오.
curl -s http://<metabase-url>/api/health | grep -i 'version' || echo 'Check Metabase version via UI or logs'