🇰🇷 한글 설명
Parse Server의 특정 버전에서 Facebook 및 Spotify 인증 어댑터의 app ID 검증 로직에 결함이 발견되었습니다. appIds 설정이 문자열로 되어 있을 경우, 공격자가 서버에 설정된 app ID의 부분 집합(sub-set)을 자신의 app ID로 사용하여 인증을 우회할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 ID를 확인하는 과정에서 실수로 보안 구멍이 생긴 상태입니다. 공격자가 교묘하게 조작된 ID를 사용하면 서버가 이를 정상적인 사용자로 착각하고 통과시켜 줄 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In versions prior to 4.10.16, or from 5.0.0 to 5.2.6, validation of the authentication adapter app ID for _Facebook_ and _Spotify_ may be circumvented. Configurations which allow users to authenticate using the Parse Server authentication adapter where `appIds` is set as a string instead of an array of strings authenticate requests from an app with a different app ID than the one specified in the `appIds` configuration. For this vulnerability to be exploited, an attacker needs to be assigned an app ID by the authentication provider which is a sub-set of the server-side configured app ID. This issue is patched in versions 4.10.16 and 5.2.7. There are no known workarounds.
📍 영향받는 시스템
Parse Server 4.10.16 미만 버전 및 5.0.0 ~ 5.2.6 버전
⚔️ 공격 벡터
공격자가 서버 설정에 포함된 문자열의 일부를 자신의 앱 ID로 사용하여 인증 우회 시도
🛡️ 대응 방법
Parse Server를 4.10.16 또는 5.2.7 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 parse-server의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크