🇰🇷 한글 설명
npm 패키지 매니저의 보안 결함으로 인해 Bearer 토큰이 모든 HTTP 요청에 포함되어 전송됩니다. 이로 인해 원격 HTTP 서버가 Authorization 헤더를 읽고 민감한 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
npm이 로그인 토큰을 인터넷 요청에 함께 보내서 다른 웹사이트가 당신의 토큰을 볼 수 있게 됩니다. 이는 마치 비밀번호를 누구나 볼 수 있게 외쳐대는 것과 같습니다.
🇺🇸 원문 (English)
The CLI in npm before 2.15.1 and 3.x before 3.8.3, as used in Node.js 0.10 before 0.10.44, 0.12 before 0.12.13, 4 before 4.4.2, and 5 before 5.10.0, includes bearer tokens with arbitrary requests, which allows remote HTTP servers to obtain sensitive information by reading Authorization headers.
📍 영향받는 시스템
npm 2.15.1 미만, npm 3.x (3.8.3 미만); Node.js 0.10.44, 0.12.13, 4.4.2, 5.10.0 미만
⚔️ 공격 벡터
npm이 외부 HTTP 서버로 요청할 때 Authorization 헤더에 bearer token을 포함시켜 서버가 이를 읽고 토큰을 탈취
🛡️ 대응 방법
npm을 2.15.1 이상 또는 3.8.3 이상으로 업그레이드; Node.js를 해당 버전 이상으로 업데이트
🔧 검증 코드
npm 버전이 2.15.1 미만이거나 3.x에서 3.8.3 미만이면 취약함. 예: 2.14.x 또는 3.7.x 등은 업그레이드 필요
npm --version 2>/dev/null