🇰🇷 한글 설명
Parse Server의 프로토타입 오염(Prototype Pollution) 취약점으로 인해 원격 코드 실행(RCE)이 가능합니다. 공격자는 MongoDB BSON 파서를 통해 악성 코드를 실행할 수 있으며, 이는 매우 심각한 보안 위협입니다.
💡 쉬운 설명
해커가 서버의 설계도를 몰래 수정하여 서버가 공격자가 원하는 명령을 실행하게 만드는 취약점입니다. 이를 통해 해커가 서버의 제어권을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Versions prior to 4.10.18, and prior to 5.3.1 on the 5.X branch, are vulnerable to Remote Code Execution via prototype pollution. An attacker can use this prototype pollution sink to trigger a remote code execution through the MongoDB BSON parser. This issue is patched in version 5.3.1 and in 4.10.18. There are no known workarounds.
📍 영향받는 시스템
Parse Server 4.10.18 미만 버전 및 5.X 브랜치의 5.3.1 미만 버전
⚔️ 공격 벡터
프로토타입 오염을 이용한 MongoDB BSON 파서 트리거를 통한 원격 코드 실행
🛡️ 대응 방법
Parse Server를 4.10.18 또는 5.3.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 4.10.18 또는 5.3.1보다 낮은지 확인하십시오.