🇰🇷 한글 설명
Node.js용 이미지 처리 애플리케이션인 sharp의 0.30.5 미만 버전에서 발생하는 취약점입니다. 빌드 환경에서 PKG_CONFIG_PATH 환경 변수를 설정할 수 있는 공격자가 npm install 실행 시 임의의 명령어를 주입할 수 있습니다. 이 문제는 런타임 코드가 아닌 설치 단계에서 발생하며, 0.30.5 버전에서 수정되었습니다.
💡 쉬운 설명
프로그램을 설치하는 과정에서 해커가 몰래 악성 명령어를 끼워 넣을 수 있는 보안 약점입니다. 빌드 환경을 관리하는 개발자나 서버 환경이 공격 대상이 될 수 있습니다.
🇺🇸 원문 (English)
sharp is an application for Node.js image processing. Prior to version 0.30.5, there is a possible vulnerability in logic that is run only at `npm install` time when installing versions of `sharp` prior to the latest v0.30.5. If an attacker has the ability to set the value of the `PKG_CONFIG_PATH` environment variable in a build environment then they might be able to use this to inject an arbitrary command at `npm install` time. This is not part of any runtime code, does not affect Windows users at all, and is unlikely to affect anyone that already cares about the security of their build environment. This problem is fixed in version 0.30.5.
📍 영향받는 시스템
sharp version < 0.30.5 (Windows 제외)
⚔️ 공격 벡터
빌드 환경 내 PKG_CONFIG_PATH 환경 변수 조작을 통한 명령 주입
🛡️ 대응 방법
sharp 라이브러리를 최신 버전인 0.30.5 이상으로 업데이트
🔧 검증 코드
출력된 sharp의 버전이 0.30.5 미만인지 확인