🇰🇷 한글 설명
Node.js의 tar 패키지 2.0.0 이전 버전에서 심볼릭 링크를 이용한 공격으로 인해 아카이브 추출 시 의도하지 않은 임의의 파일에 데이터를 쓸 수 있는 취약점입니다. 공격자는 조작된 tar 파일을 배포하여 피해자의 시스템에서 중요한 파일을 덮어쓸 수 있습니다.
💡 쉬운 설명
tar 패키지가 압축을 풀 때 심볼릭 링크를 제대로 검증하지 않아서, 악의적인 tar 파일이 시스템의 다른 파일들을 몰래 변조할 수 있습니다. 이 취약점으로 인해 공격자가 원하는 위치에 파일을 쓸 수 있게 됩니다.
🇺🇸 원문 (English)
The tar package before 2.0.0 for Node.js allows remote attackers to write to arbitrary files via a symlink attack in an archive.
📍 영향받는 시스템
Node.js tar 패키지 < 2.0.0
⚔️ 공격 벡터
tar 아카이브 추출 중 심볼릭 링크를 통한 경로 조작 공격
🛡️ 대응 방법
tar 패키지를 2.0.0 이상으로 업그레이드하기 (npm update tar)
🔧 검증 코드
출력된 tar 버전이 2.0.0 이상이면 안전합니다. 2.0.0 미만이면 즉시 업그레이드가 필요합니다.
npm list tar 2>/dev/null | grep tar | head -1