🇰🇷 한글 설명
Parse Server 4.10.0 미만 버전에서 발생한 공급망 공격 사례로, 쓰기 권한이 있는 기여자가 검토되지 않은 개인 포크(fork)를 가리키는 잘못된 버전 태그를 공식 저장소에 푸시했습니다. 해당 태그를 git 기반 의존성으로 참조하는 프로젝트만 노출되었으며, 악성 코드는 확인되지 않았으나 보안 취약점이 포함되었을 가능성을 배제할 수 없습니다.
💡 쉬운 설명
개발자가 사용하는 소프트웨어의 버전 이름표가 잘못 붙어, 검증되지 않은 개인 코드가 설치될 수 있었던 사고입니다. 악성 코드가 발견되지는 않았지만, 누군가 몰래 위험한 코드를 심었을 수도 있는 상황입니다.
🇺🇸 원문 (English)
Parse Server before 4.10.0 was affected by a supply chain incident in which incorrect version tags were pushed to the official repository pointing to an unreviewed personal fork of a contributor with write access. No releases were published with these tags; a project was exposed only if it defined a git-based dependency referencing one of the affected tags (for example, parse-server#4.9.3). The code behind the tags was not reviewed or approved, and although no malicious code was identified, the introduction of security vulnerabilities could not be ruled out.
📍 영향받는 시스템
Parse Server 4.10.0 미만 버전 중 git 기반 의존성(예: parse-server#4.9.3)을 사용하는 프로젝트
⚔️ 공격 벡터
공식 저장소의 잘못된 버전 태그를 통해 검증되지 않은 외부 코드를 프로젝트에 포함시키는 공급망 공격
🛡️ 대응 방법
Parse Server를 4.10.0 이상의 안전한 버전으로 업데이트하고, git 기반 의존성 대신 공식 배포판(npm 등)을 사용하십시오.
🔧 검증 코드
출력된 버전이 4.10.0 미만이거나 의존성 경로가 공식 저장소가 아닌 개인 포크를 가리키는지 확인하십시오.