Metabase /reset_password 엔드포인트 미인증 SQL 인젝션 및 관리자 권한 탈취 취약점 (CVE-2026-72898)

1. 공식 보안 패치 적용

Metabase 공식 GitHub 및 웹사이트를 통해 배포된 최신 보안 패치 버전으로 즉시 업그레이드를 수행하십시오.

Docker 환경 업그레이드 예시:

# 최신 안전한 버전의 이미지 풀
docker pull metabase/metabase:latest

# 기존 컨테이너 중지 및 제거 후 재시작
docker stop metabase-container
docker rm metabase-container
docker run -d -p 3000:3000 --name metabase metabase/metabase:latest

2. 임시 완화 조치 (WAF 및 리버스 프록시 설정)

즉각적인 패치가 어려운 경우, Nginx 또는 WAF(웹 애플리케이션 방화벽)를 사용하여 취약한 엔드포인트로의 외부 접근을 차단하거나 필터링하십시오.

Nginx 차단 규칙 예시:

# 비밀번호 재설정 엔드포인트에 대한 외부 접근 제한
location ~* /api/user/reset_password {
    deny all;
    return 403;
}

WAF 탐지 룰 구성:

• URI 경로에 /reset_password가 포함되어 있고, 요청 본문(Body) 또는 쿼리 스트링에 SQL 구문 예약어(UNION, SELECT, INSERT, UPDATE, --, OR 1=1)가 포함된 경우 즉시 차단(Block)하도록 규칙을 설정하십시오.

본 취약점(CVE-2026-72898)은 오픈소스 비즈니스 인텔리전스(BI) 플랫폼인 Metabase의 비밀번호 재설정 엔드포인트(/reset_password)에서 발생하는 심각한 SQL 인젝션(CWE-89) 취약점입니다.

공격자는 인증을 거치지 않은 상태에서 특수하게 조작된 SQL 질의문을 입력값으로 전달할 수 있습니다. Metabase 백엔드가 이 입력값을 적절히 검증하거나 매개변수화(Parameterized Query)하지 않고 데이터베이스 쿼리에 직접 결합하면서 취약점이 발생합니다.

이 취약점이 치명적인 이유는 다음과 같습니다:

• 미인증 공격 가능: 어떠한 계정 권한도 없는 외부 공격자가 네트워크를 통해 즉시 공격을 수행할 수 있습니다.
• 관리자 권한 탈취: 공격자는 SQL 인젝션을 통해 애플리케이션 데이터베이스 내의 사용자 세션, 비밀번호 해시 또는 권한 테이블을 조작하여 Metabase 인스턴스의 최고 관리자(Administrator) 권한을 획득할 수 있습니다.
• 실제 악용 진행 중: CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-Wild)에서 공격이 활발히 관측되고 있으며, EPSS 점수가 0.94(94%)에 달해 즉각적인 대응이 요구됩니다.