🇰🇷 한글 설명
Metabase 0.63.18 이하 버전에서 커스텀 GeoJSON URL의 0.0.0.0 주소를 적절히 검증하지 못하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 루프백 서비스에 접근하여 내부 서비스 응답을 탈취할 수 있습니다.
💡 쉬운 설명
공격자가 가짜 지도 데이터를 이용해 서버 내부에서만 돌아가는 비밀 서비스에 접근할 수 있는 문제입니다. 이를 통해 외부에서는 볼 수 없는 내부 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Metabase through 0.63.18 fails to properly validate the unspecified address 0.0.0.0 in custom GeoJSON URLs, allowing unauthenticated attackers to reach loopback services. Attackers can save a malicious GeoJSON entry with 0.0.0.0 and trigger requests that return loopback service responses to unauthenticated callers.
📍 영향받는 시스템
Metabase 0.63.18 및 그 이전 버전
⚔️ 공격 벡터
악의적인 0.0.0.0 주소가 포함된 GeoJSON URL을 저장하여 서버 내부 루프백 서비스로 요청을 유도함
🛡️ 대응 방법
Metabase를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.63.18보다 높은지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:3000/api/health | grep -i 'version' || echo 'Version check required via Metabase UI or logs'