실제 공격에 악용된 것이 확인된 취약점(CISA KEV 등재)에 대한 빠른 브리핑입니다. 무엇을 하는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 다루며, 방어 관점에서만 설명하고 공격 절차는 포함하지 않습니다.
- CVE
- CVE-2026-72898
- 심각도
- 치명적 — CVSS 10.0(v3.1 및 v4.0 모두)
- 유형
- 인증되지 않은 SQL 인젝션(CWE-89)
- 영향
- Metabase 인스턴스의 관리자 권한, 연결된 데이터베이스의 자격 증명과 데이터에 접근 가능
- 영향 범위
- 자체 호스팅 Metabase, x.58 라인 이후 버전 중 수정 버전 미만
- 악용 여부
- CISA KEV 등재(2026년 8월 11일 추가, 기한 8월 14일); 공급업체는 제로데이로 악용되었다고 밝힘
- 주요 조치
- 업그레이드, 세션 폐기 및 연결된 모든 데이터베이스 자격 증명 교체
방치하면 안 되는 이유
인증이 필요 없고 얻는 권한이 관리자 권한이므로, 무차별 스캔의 주요 표적이 되기 쉽습니다. 실제로 공개 다음 날 KEV에 등재되었습니다. 공급업체는 패치 전에 자사 클라우드 환경에서 실제로 악용되었다고 밝혔으므로, "아직 우리에게는 오지 않았다"는 가정은 할 수 없습니다.
결함의 내용
Metabase는 데이터베이스에 연결해 그 위에서 대시보드와 쿼리를 제공하는 BI 및 분석 플랫폼입니다. 이 결함은 비밀번호 재설정을 처리하는 엔드포인트가 호출자가 제공한 값으로 SQL을 구성한다는 데 있습니다. 이 처리는 인증 이전에 일어나므로, 공격자에게 계정이 필요하지 않습니다(SQL 인젝션, CWE-89).
인젝션은 Metabase 자체의 애플리케이션 데이터베이스에 도달합니다. 이 데이터베이스에는 사용자, 세션, API 키, 연결 설정이 저장되어 있으며, 곧 인스턴스 전체에 대한 통제권을 뜻합니다. CISA의 KEV 항목은 공격자가 관리자 권한을 얻은 뒤 애플리케이션 설정을 변경하고, 연결된 데이터베이스의 저장된 자격 증명을 탈취하며, 해당 연결로 접근 가능한 모든 것을 읽어 내보낼 수 있다고 밝히고 있습니다.
인증되지 않은 공격자
↓ 비밀번호 재설정 엔드포인트를 통한 SQL 주입
Metabase 애플리케이션 DB → 관리자
↓ 저장된 연결 설정과 자격 증명
연결된 모든 데이터베이스
매출, 고객, 로그 — BI가 읽을 수 있는 모든 데이터
영향을 받는 대상
| 항목 | 내용 |
|---|---|
| 영향 대상 | 자체 호스팅 Metabase. 공급업체는 Metabase Cloud가 이미 패치되었다고 밝힘 |
| 취약 버전 | x.58 라인 이후 버전 중 수정 버전 미만 |
| 수정 버전 | 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5(Enterprise: 1.58.24 / 1.59.21 / 1.60.17 / 1.61.11 / 1.62.9 / 1.63.5) |
| 전제 조건 | 없음 — 인증 불필요 |
| 영향 | 관리자 권한 → 연결된 데이터베이스의 자격 증명과 데이터 |
| 임시 완화 조치 | /api/session/reset_password 엔드포인트 차단(업그레이드 전까지만 유효) |
대응 방법
패치된 릴리스로 업그레이드 (최우선, 유일한 실제 수정)
즉시 업그레이드할 수 없다면 엔드포인트를 차단
/api/session/reset_password를 차단하는 것입니다. 이는 임시 조치로만 취급하십시오.모든 세션을 폐기한 뒤 API 키와 관리자를 점검
core_session 테이블 행을 모두 삭제해 모든 세션을 종료하고, 알지 못하는 API 키를 제거한 뒤, 설명할 수 없는 변경이 있는지 관리자 계정을 확인하는 것입니다. 누군가 관리자 권한을 가졌다면, 업그레이드만으로는 그들이 만든 계정과 키가 그대로 남습니다.연결된 모든 데이터베이스의 자격 증명 교체 (생략하지 마십시오)
접근 가능 범위 자체를 줄이기
공급업체가 공개한 탐지 힌트
공급업체는 악용 패턴을 /api/session/reset_password 호출이 400을 반환한 직후 /api/user/current가 200을 반환하는 형태로 설명합니다. 접근 로그가 남아 있다면 이 순서를 찾아볼 가치가 있습니다. 로그가 없다면 답은 "깨끗함"이 아니라 "알 수 없음"입니다. 이 경우 침해를 가정하고 4단계를 수행하십시오.
이 사이트의 견해: BI 도구는 연결된 모든 자격 증명을 보관하므로, 가장 민감한 데이터베이스와 같은 수준으로 보호해야 합니다
조직은 BI 및 분석 도구를 "데이터를 보여주는 도구"로 분류하고, 데이터베이스 자체보다 낮은 수준으로 관리하는 경우가 많습니다. 실제는 반대입니다. 이 도구는 연결된 모든 대상의 자격 증명을 한곳에 모아 두는 지점입니다. 이 사이트의 입장은 그 뒤에 있는 가장 민감한 데이터베이스와 같은 수준으로 보호해야 한다는 것입니다. 구체적으로는 BI에 최소 권한 연결 사용자(읽기 전용, 필요한 스키마만)를 부여하고, 인터넷에 직접 노출하지 않으며, 필요할 때 바로 실행할 수 있는 자격 증명 교체 런북을 미리 준비하는 것입니다. 이렇게 하면 인증 이전 코드의 결함이라는 최악의 경우에도 피해는 모든 데이터베이스가 아니라 연결 하나로 줄어듭니다.
출처
- NVD — CVE-2026-72898(CWE-89; v3.1 및 v4.0 모두 CVSS 10.0)
- CISA KEV — Known Exploited Vulnerabilities Catalog(2026년 8월 11일 추가, 2026년 8월 14일까지 조치)
- 공급업체 — GHSA-vwf4-m7j8-wcjf 및 Metabase security update