🇰🇷 한글 설명
Node.js용 decompress 패키지 4.2.1 미만 버전에서 디렉토리 트래버설 취약점이 발견되었습니다. 압축 파일 내의 심볼릭 링크를 사용할 경우, 상위 디렉토리 참조(..)를 통해 임의의 파일에 쓰기 작업을 수행할 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 해커가 만든 특수한 파일을 사용하면, 컴퓨터의 엉뚱한 위치에 악성 파일을 몰래 저장할 수 있는 보안 약점입니다. 이를 통해 시스템의 중요한 파일을 변조하거나 제어권을 뺏길 수 있습니다.
🇺🇸 원문 (English)
The decompress package before 4.2.1 for Node.js is vulnerable to Arbitrary File Write via ../ in an archive member, when a symlink is used, because of Directory Traversal.
📍 영향받는 시스템
decompress package versions < 4.2.1
⚔️ 공격 벡터
심볼릭 링크가 포함된 악성 압축 파일을 해제하여 디렉토리 트래버설 공격 수행
🛡️ 대응 방법
decompress 패키지를 4.2.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 4.2.1보다 낮으면 취약한 상태이며, 4.2.1 이상이면 안전합니다.