🇰🇷 한글 설명
NextAuth.js의 특정 버전에서 OAuth 오류 처리 중 로그에 ID 제공자의 비밀 정보가 포함되는 정보 노출 취약점이 발견되었습니다. 로그 접근 권한을 가진 공격자는 이 정보를 탈취하여 클라이언트를 사칭하거나 시스템에 추가적인 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그 파일에 시스템의 중요한 비밀번호가 실수로 기록되는 문제입니다. 로그를 볼 수 있는 사람이 이 비밀번호를 훔쳐서 사용자 행세를 할 수 있습니다.
🇺🇸 원문 (English)
NextAuth.js is a complete open source authentication solution for Next.js applications. An information disclosure vulnerability in `next-auth` before `v4.10.2` and `v3.29.9` allows an attacker with log access privilege to obtain excessive information such as an identity provider's secret in the log (which is thrown during OAuth error handling) and use it to leverage further attacks on the system, like impersonating the client to ask for extensive permissions. This issue has been patched in `v4.10.2` and `v3.29.9` by moving the log for `provider` information to the debug level. In addition, we added a warning for having the `debug: true` option turned on in production. If for some reason you cannot upgrade, you can user the `logger` configuration option by sanitizing the logs.
📍 영향받는 시스템
NextAuth.js v4.10.2 미만 및 v3.29.9 미만 버전
⚔️ 공격 벡터
로그 파일에 접근할 수 있는 권한을 이용한 정보 탈취
🛡️ 대응 방법
NextAuth.js를 v4.10.2 또는 v3.29.9 이상으로 업데이트하거나, logger 설정을 통해 로그를 정제해야 합니다.
🔧 검증 코드
출력된 결과에서 next-auth의 버전을 확인하여 취약한 버전인지 체크합니다.
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access