🇰🇷 한글 설명
hapi 서버 프레임워크의 bassmaster 플러그인 1.5.2 이전 버전에서 lib/batch.js의 internals.batch 함수에 발견된 Eval 인젝션 취약점으로, 원격 공격자가 임의의 JavaScript 코드를 실행할 수 있습니다. 배치 처리 API의 입력값이 부적절하게 검증되어 eval() 함수로 직접 전달됩니다.
💡 쉬운 설명
hapi 웹 서버의 오래된 플러그인에서 악의적인 코드를 직접 실행할 수 있는 결함입니다. 이 플러그인을 사용하는 웹 서버는 인터넷을 통해 누구나 공격할 수 있습니다.
🇺🇸 원문 (English)
Eval injection vulnerability in the internals.batch function in lib/batch.js in the bassmaster plugin before 1.5.2 for the hapi server framework for Node.js allows remote attackers to execute arbitrary Javascript code via unspecified vectors.
📍 영향받는 시스템
hapi 프레임워크 + bassmaster 플러그인 < 1.5.2
⚔️ 공격 벡터
배치 처리 엔드포인트에 JavaScript 코드가 포함된 요청을 전송하여 eval() 함수로 실행되게 유도
🛡️ 대응 방법
bassmaster 플러그인을 1.5.2 이상으로 즉시 업그레이드 또는 해당 플러그인 제거
🔧 검증 코드
설치된 bassmaster 버전을 확인하여 1.5.2 미만이면 취약함. 버전이 1.5.2 이상이거나 설치되지 않았으면 안전.
npm list bassmaster 2>/dev/null | grep -o 'bassmaster@[0-9.]*'