🇰🇷 한글 설명
google-it은 Google 검색 결과를 JSON 형식으로 제공하는 Node.js 패키지입니다. 1.6.2 이하 버전에서 'Open in browser' 옵션을 사용할 때, 검색 결과의 링크를 쉘 명령에 안전하지 않게 결합하여 원격 코드 실행(RCE)이 발생할 수 있습니다.
💡 쉬운 설명
검색 결과 링크를 처리하는 과정에서 악성 명령어가 포함될 수 있는 보안 허점이 발견되었습니다. 해커가 이 허점을 이용하면 서버에 직접 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Google-it is a Node.js package which allows its users to send search queries to Google and receive the results in a JSON format. When using the 'Open in browser' option in versions up to 1.6.2, google-it will unsafely concat the result's link retrieved from google to a shell command, potentially exposing the server to RCE.
📍 영향받는 시스템
google-it package versions up to 1.6.2
⚔️ 공격 벡터
검색 결과 링크에 악성 쉘 명령어를 삽입하여 'Open in browser' 기능을 호출하는 방식
🛡️ 대응 방법
google-it 패키지를 최신 버전(1.6.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.6.2 이하인지 확인하여 취약 여부를 판단합니다.
npm list google-it | grep google-it