🇰🇷 한글 설명
Parse Server의 Apple Game Center 인증 어댑터에서 인증서 검증이 누락되는 취약점이 발견되었습니다. 공격자는 특정 Apple 도메인을 통해 가짜 인증서를 제공함으로써 인증 과정을 우회할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 신분증(인증서)이 진짜인지 확인하지 않는 허점이 발견되었습니다. 이를 통해 공격자가 가짜 신분증을 내밀어도 시스템이 통과시켜 줄 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 4.10.11 and 5.2.2, the certificate in the Parse Server Apple Game Center auth adapter not validated. As a result, authentication could potentially be bypassed by making a fake certificate accessible via certain Apple domains and providing the URL to that certificate in an authData object. Versions 4.0.11 and 5.2.2 prevent this by introducing a new `rootCertificateUrl` property to the Parse Server Apple Game Center auth adapter which takes the URL to the root certificate of Apple's Game Center authentication certificate. If no value is set, the `rootCertificateUrl` property defaults to the URL of the current root certificate as of May 27, 2022. Keep in mind that the root certificate can change at any time and that it is the developer's responsibility to keep the root certificate URL up-to-date when using the Parse Server Apple Game Center auth adapter. There are no known workarounds for this issue.
📍 영향받는 시스템
Parse Server versions prior to 4.10.11 and 5.2.2
⚔️ 공격 벡터
가짜 인증서 URL을 authData 객체에 포함하여 전송함으로써 인증 우회
🛡️ 대응 방법
Parse Server를 4.10.11 또는 5.2.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 4.10.11 또는 5.2.2 미만인지 확인