🇰🇷 한글 설명
NodeBB 포럼 소프트웨어의 SSO(Single Sign-On) 프로세스 처리 과정에서 조건문 오류로 인해 nonce 검증 로직이 제대로 작동하지 않는 취약점이 발견되었습니다. 이로 인해 중간자 공격(MITM)을 통해 다른 사용자의 계정을 탈취할 수 있는 위험이 존재합니다.
💡 쉬운 설명
로그인 과정에서 보안을 위해 사용하는 일회용 암호 검증 기능이 실수로 꺼져 있는 상태였습니다. 이를 악용하면 해커가 중간에서 통신을 가로채 다른 사람의 계정으로 로그인할 수 있습니다.
🇺🇸 원문 (English)
NodeBB Forum Software is powered by Node.js and supports either Redis, MongoDB, or a PostgreSQL database. Due to an unnecessarily strict conditional in the code handling the first step of the SSO process, the pre-existing logic that added (and later checked) a nonce was inadvertently rendered opt-in instead of opt-out. This re-exposed a vulnerability in that a specially crafted Man-in-the-Middle (MITM) attack could theoretically take over another user account during the single sign-on process. The issue has been fully patched in version 1.17.2.
📍 영향받는 시스템
NodeBB Forum Software (1.17.2 미만 버전)
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle, MITM)
🛡️ 대응 방법
NodeBB를 최신 보안 패치가 적용된 버전 1.17.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 NodeBB 버전이 1.17.2보다 낮은지 확인하십시오.
npm list -g nodebb | grep -E 'nodebb@([0-9]+\.[0-9]+\.[0-9]+)'