🇰🇷 한글 설명
Node.js 0.10.x의 syntax-error 패키지 1.1.1 이전 버전 index.js에 존재하는 Eval 인젝션 취약점입니다. 공격자가 조작된 파일을 처리하도록 유도하여 임의의 코드를 원격으로 실행할 수 있으며, IBM Rational Application Developer 등의 제품이 영향을 받습니다.
💡 쉬운 설명
프로그램이 외부 파일을 충분히 검증하지 않고 실행해서, 해커가 악의적인 코드를 숨겨 보낼 수 있는 문제입니다. 공격에 성공하면 해커가 시스템 전체를 제어할 수 있습니다.
🇺🇸 원문 (English)
Eval injection vulnerability in index.js in the syntax-error package before 1.1.1 for Node.js 0.10.x, as used in IBM Rational Application Developer and other products, allows remote attackers to execute arbitrary code via a crafted file.
📍 영향받는 시스템
Node.js 0.10.x의 syntax-error 패키지 < 1.1.1 버전, IBM Rational Application Developer 및 기타 제품
⚔️ 공격 벡터
악의적인 파일을 대상 애플리케이션이 처리하도록 업로드하거나 유도하여 eval() 함수 실행 트리거
🛡️ 대응 방법
syntax-error 패키지를 1.1.1 이상으로 업그레이드하거나 Node.js를 최신 LTS 버전으로 마이그레이션
🔧 검증 코드
1.1.1 이상의 버전이 출력되면 패치됨, 1.1.0 이하이거나 미설치 상태면 취약함
npm list syntax-error 2>/dev/null | grep -oP 'syntax-error@\K[0-9]+\.[0-9]+\.[0-9]+'