🇰🇷 한글 설명
log4js-node의 file, fileSync, dateFile 어펜더를 통해 생성된 로그 파일의 기본 권한이 Unix 환경에서 모든 사용자가 읽을 수 있도록 설정되어 있습니다. 로그 파일에 민감한 정보가 포함된 경우 권한 설정(mode 파라미터)을 별도로 지정하지 않은 사용자는 정보 유출 위험에 노출될 수 있습니다.
💡 쉬운 설명
로그를 저장하는 파일의 보안 설정이 너무 느슨하게 되어 있어, 컴퓨터를 사용하는 다른 사람이 로그 내용을 몰래 볼 수 있는 문제입니다. 로그 안에 비밀번호나 개인정보가 들어있다면 위험할 수 있습니다.
🇺🇸 원문 (English)
log4js-node is a port of log4js to node.js. In affected versions default file permissions for log files created by the file, fileSync and dateFile appenders are world-readable (in unix). This could cause problems if log files contain sensitive information. This would affect any users that have not supplied their own permissions for the files via the mode parameter in the config. Users are advised to update.
📍 영향받는 시스템
log4js-node (mode 파라미터를 통해 권한을 직접 설정하지 않은 모든 버전)
⚔️ 공격 벡터
동일한 시스템에 접근 권한이 있는 로컬 사용자가 읽기 권한이 허용된 로그 파일을 열람하여 민감 정보 탈취
🛡️ 대응 방법
log4js-node를 최신 버전으로 업데이트하거나, 설정 시 mode 파라미터를 사용하여 파일 권한을 제한해야 함
🔧 검증 코드
출력된 log4js-node의 버전을 확인하고, 설정 파일에서 mode 파라미터 사용 여부를 점검함