[속보] Metabase, 0데이 취약점 악용 확인…자체 운영 환경 즉시 업데이트 권고

Metabase 공식 보안 공지에 따르면 데이터 분석 플랫폼 Metabase Cloud는 1.58 이상 버전에 존재한 알려지지 않은 0데이 취약점을 이용한 공격을 받았다. 회사는 공격에 사용된 엔드포인트를 차단한 뒤 취약점을 식별·패치했으며, 클라우드 고객 인스턴스에는 이미 수정 사항을 적용했다고 밝혔다.

문제는 자체 운영 환경이다. Metabase는 취약한 인스턴스에 접근한 공격자가 애플리케이션 데이터베이스를 상대로 임의 SQL을 주입해 관리자 권한을 얻을 수 있다고 설명했다. 이후 연결된 데이터베이스의 저장 자격증명을 탈취하거나, 해당 연결을 통해 접근 가능한 데이터를 읽고 내보낼 수 있다는 것이 회사의 설명이다.

GitHub Security Advisory에도 같은 취약점이 GHSA-vwf4-m7j8-wcjf로 등록됐다. 공지에 따르면 영향을 받는 환경은 1.58 이상이며, 58 미만 버전은 영향을 받지 않는다. 자체 운영자는 사용 중인 계열의 최신 포인트 릴리스로 즉시 올려야 한다. 예를 들어 0.58.6을 운영 중이면 0.58.24 이상으로 업데이트해야 한다.

Metabase는 업데이트 뒤에도 공개 접근이 가능한 /api/session/reset_password 엔드포인트가 있었다면 활성 세션 폐기, 인식할 수 없는 API 키 삭제, 관리자 계정 변경 여부 확인, 연결 데이터베이스 자격증명 교체를 권고했다. 데이터 웨어하우스 로그와 Metabase 활동·쿼리 이력에서 비인가 접근 흔적도 점검 대상으로 제시했다.

특히 애플리케이션 또는 인그레스 로그에서 POST /api/session/reset_password 요청이 400 응답으로 끝난 뒤 GET /api/user/current 요청이 200 응답으로 이어지는 패턴이 발견되면 침해됐을 가능성이 있다고 안내했다. 즉시 업데이트가 어려운 경우에는 임시 조치로 해당 비밀번호 재설정 엔드포인트를 차단하라고 덧붙였다.

이번 공지는 분석 도구가 여러 데이터베이스의 접점 역할을 하는 환경에서 계정과 애플리케이션 데이터베이스 권한이 함께 공격면이 될 수 있음을 보여준다. 외부에 노출된 자체 운영 인스턴스는 패치 적용뿐 아니라 세션, API 키, 관리자 계정, 연결 자격증명을 한 번에 점검할 필요가 있다.

출처: Metabase 공식 보안 공지 https://www.metabase.com/blog/security-update · GitHub Security Advisory https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf