🇰🇷 한글 설명
cue-sdk-node는 Corsair Cue SDK의 Node.js 래퍼로, 압축된 리소스를 HTTP를 통해 다운로드하기 때문에 중간자 공격(MITM)에 취약합니다. 공격자가 네트워크 중간에 위치할 경우, 요청된 zip 파일을 악성 파일로 교체하여 원격 코드 실행(RCE)을 유발할 수 있습니다.
💡 쉬운 설명
프로그램이 파일을 내려받을 때 보안이 취약한 통로를 사용하여, 해커가 중간에서 가짜 파일을 끼워 넣을 수 있습니다. 이 가짜 파일을 통해 해커가 사용자의 컴퓨터를 원격으로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
cue-sdk-node is a Corsair Cue SDK wrapper for node.js. cue-sdk-node downloads zipped resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested zip file with an attacker controlled zip file if the attacker is on the network or positioned in between the user and the remote server.
📍 영향받는 시스템
cue-sdk-node (HTTP 다운로드 기능을 사용하는 모든 버전)
⚔️ 공격 벡터
네트워크 중간자 공격(MITM)을 통한 악성 zip 파일 교체
🛡️ 대응 방법
HTTP 대신 HTTPS를 사용하도록 설정을 변경하거나, 파일 무결성 검증(Checksum) 로직을 도입해야 합니다.
🔧 검증 코드
출력된 결과에 cue-sdk-node 패키지가 포함되어 있는지 확인합니다.