3줄 요약
1. 오픈소스 BI 도구 Metabase에 CVSS 10.0 만점 취약점(CVE-2026-72898)이 나왔고, 이미 악용 중입니다.
2. 비밀번호 재설정 엔드포인트에 인증 없이 SQL 인젝션 — 곧바로 관리자 권한을 가져갑니다.
3. Metabase는 사내 DB에 연결돼 있습니다. 도구 하나가 아니라 연결된 DB 전부가 노출됩니다.
1. 무슨 일이 있었나
CVE-2026-72898 — Metabase의 인증 불필요 SQL 인젝션 취약점입니다.
- CVSS 10.0 (최고 등급)
- 공격 경로:
POST /api/session/reset_password엔드포인트에 조작된 요청 - 결과: 인증 없이 관리자 권한 획득
- Metabase가 실제 환경에서의 악용을 공식 확인
- CISA KEV 등재, 연방기관 조치 기한 2026년 8월 14일
영향 버전은 0.58/1.58부터 0.63.4 이전 대역입니다. 자체 호스팅(Self-hosted) 인스턴스가 특히 위험합니다.
2. 왜 "BI 도구 하나"가 최악인가
Metabase는 데이터를 저장하지 않습니다. 데이터에 연결합니다.
관리자 권한을 뺏기면 공격자가 얻는 것:
| 얻는 것 | 의미 |
|---|---|
| 연결된 DB 접속 정보 | 운영 DB · 고객 DB 자격증명 통째로 |
| 저장된 질의(Question) | 어떤 테이블에 무엇이 있는지 지도 |
| 데이터 내보내기 기능 | 대량 반출을 정상 기능으로 수행 |
| 사용자·권한 설정 | 백도어 계정 추가 |
침해가 정상 기능 사용처럼 보이기 때문에, 탐지도 늦습니다.
게다가 Metabase는 "데이터팀이 알아서 띄운" 경우가 많아 보안팀 자산 목록에 없는 경우가 흔합니다.
3. 지금 순서대로 해야 할 6가지
① 우리 조직에 Metabase가 있는지부터 확인
- 정식 자산 목록에 없더라도, 마케팅·데이터·기획팀이 자체 구축했을 수 있습니다
- 사내 DNS·클라우드 인스턴스 목록·비용 청구서에서 역추적
② 외부 노출 즉시 차단
- 인터넷에서 접근 가능하면 패치 전이라도 먼저 닫기
- VPN 또는 IP 화이트리스트 뒤로 이동
③ 패치
- 0.63.4 이상(및 상용 1.x 대응 버전)으로 업데이트
④ 연결 DB 자격증명 전면 교체
- 패치만으로 끝나지 않습니다. 이미 유출됐다고 가정해야 합니다
- Metabase에 등록된 모든 DB 계정 비밀번호 교체
- 가능하면 읽기 전용 계정으로 권한 축소
⑤ 침해 흔적 점검
/api/session/reset_password에 대한 비정상 요청 로그- 예상 밖 관리자 계정 생성
- 대량 데이터 내보내기(export/download) 이력
- DB 측 대용량 SELECT 이력
⑥ 재발 구조 차단
- BI 도구는 운영 DB에 직접 붙이지 않습니다 — 분석 전용 복제본에 연결
- 개인정보 컬럼은 마스킹된 뷰로만 노출
4. 자가 점검 6문 (1분)
- ☐ 사내에 Metabase(또는 유사 BI 도구)가 몇 대 있는지 안다
- ☐ 그중 인터넷에서 접근 가능한 것을 확인했다
- ☐ 0.63.4 이상으로 패치했다
- ☐ Metabase에 등록된 DB 자격증명을 교체했다
- ☐ 비정상 관리자 생성·대량 내보내기 이력을 점검했다
- ☐ BI 도구가 운영 DB가 아닌 분석용 복제본에 연결돼 있다
3개 미만이면 즉시 대응이 필요한 상태입니다.
5. 개인정보 / ISMS-P 관점
BI 도구를 통한 유출은 개인정보 유출 신고 대상이 됩니다.
| 점검 항목 | 누락 시 |
|---|---|
| 섀도 IT 포함 정보자산 식별 | ❌ 지적 사항 |
| 개인정보 취급 시스템 접근 통제 | ❌ 지적 사항 |
| DB 계정 관리·주기적 변경 | ❌ 지적 사항 |
| 개인정보 다운로드·출력 통제 | ❌ 지적 사항 |
| 접속기록 보관 및 점검 | ⚠️ 보완 권고 |
"보안팀이 몰랐던 시스템"이라는 사실 자체가 자산 관리 미흡으로 지적됩니다.
6. 결론 — CVSS 10.0은 "이번 주"의 일이다
인증 불필요 + 원격 + 관리자 탈취 + 실제 악용 중. 미룰 조건이 하나도 없습니다.
그리고 이번 사건의 진짜 교훈은 CVE가 아닙니다.
보안팀이 모르는 시스템은 지킬 수 없다.
패치보다 먼저, 우리가 무엇을 인터넷에 띄워놨는지 알아야 합니다.
지금 30초 안에 시작하기
우리 도메인·서브도메인에 노출된 관리 도구를 찾으려면:
👉 SENTRIX 무료 보안 스캔 (codescan.kr) — URL 입력 → 30초 내 외부 노출 위험 진단
섀도 IT 포함 전체 자산 식별이 필요하다면:
👉 수동 진단 문의 (sentrix.co.kr) — 외부 공격면(EASM) 조사 + 침해 흔적 분석 동반 진행
참고 자료