🇰🇷 한글 설명
Parse Server에서 내부 필드나 보호된 필드를 쿼리 제약 조건으로 사용하여 데이터를 추측할 수 있는 취약점입니다. 공격자는 마스터 키 없이도 필드 이름을 열거하여 민감한 정보를 알아낼 수 있습니다.
💡 쉬운 설명
데이터베이스의 숨겨진 비밀번호나 내부 정보를 이름만 대조해 보며 하나씩 찾아낼 수 있는 보안 구멍입니다. 마치 자물쇠를 열지 않고도 문틈으로 내부 물건이 무엇인지 맞히는 것과 같습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Internal fields (keys used internally by Parse Server, prefixed by `_`) and protected fields (user defined) can be used as query constraints. Internal and protected fields are removed by Parse Server and are only returned to the client using a valid master key. However, using query constraints, these fields can be guessed by enumerating until Parse Server, prior to versions 4.10.14 or 5.2.5, returns a response object. The patch available in versions 4.10.14 and 5.2.5 requires the maser key to use internal and protected fields as query constraints. As a workaround, implement a Parse Cloud Trigger `beforeFind` and manually remove the query constraints.
📍 영향받는 시스템
Parse Server versions prior to 4.10.14 and 5.2.5
⚔️ 공격 벡터
쿼리 제약 조건에 내부/보호 필드를 입력하여 응답 여부를 확인하는 필드 열거 공격
🛡️ 대응 방법
Parse Server를 4.10.14 또는 5.2.5 이상의 버전으로 업데이트하거나, beforeFind 트리거를 통해 쿼리 제약 조건을 수동으로 제거합니다.
🔧 검증 코드
출력된 parse-server의 버전이 4.10.14 또는 5.2.5 미만인지 확인합니다.