무슨 일이 있었나
CVE-2026-111692 (CVSS 9.8, CWE-321) NVD REST API를 통해 확인(2026-10-16 VulnCheck 게시): JWT 서명 HMAC 비밀이 JwtTokenService/config에 기본 dev-비밀로 하드코딩되어 있어 인증되지 않은 공격자가 미래 만료 시간의 관리자 토큰을 위조하고 Doris SQL 쿼리 API를 포함한 모든 보호된 /webapi 경로에 도달할 수 있음. 관련 CVE-2026-111693(또한 CVSS 9.8)은 하드코딩된 기본 admin/Databuff@123 로그인임.
왜 중요한가
DataBuff를 자체 호스팅하는 AI 관측성/APM 배포는 두 가지 사소한 인증 없는 경로(알려진 서명 비밀 및 기본 자격 증명)를 통해 모니터링 스택에 대한 전체 쓰기/읽기 제어를 노출함 — 원격 측정 데이터에 대한 SQL 쿼리 API 포함. 공격자는 AI 워크로드 모니터링 및 기본 쿼리 엔진에 대한 관리자 권한을 얻음.
공격 경로
인증 없이: 공격자는 JwtTokenService의 하드코딩된 HMAC 비밀로 관리자 역할 JWT에 서명하거나 기본 admin/Databuff@123을 /webapi/api/v1/auth/login에 POST한 다음 Doris SQL 쿼리 API를 포함한 보호된 /webapi 경로에 접근함.
영향받는 시스템
DataBuff ai-apm-web ≤ 0.1.10 (databufflabs/databuff)
완화 방안
0.1.10 이후 버전으로 업그레이드; 기본 dev-비밀을 무작위 강력한 비밀로 교체하고 내장 관리자 계정을 비활성화/변경하며 노출된 배포에서 자격 증명을 회전. VulnCheck 권고 참조.