🇰🇷 한글 설명
Parse Server가 클라이언트 IP를 식별할 때 `x-forwarded-for` 헤더를 신뢰하는 취약점입니다. 프록시 서버 없이 운영될 경우 공격자가 헤더를 조작하여 `masterKeyIps` 보안 설정을 우회할 수 있습니다. 이 문제는 버전 5.4.1에서 패치되었으며, 이제 `trustProxy` 옵션을 명시적으로 설정해야 합니다.
💡 쉬운 설명
공격자가 자신의 IP 주소를 마치 허가된 사용자인 것처럼 속여서 보안 검사를 통과할 수 있는 문제입니다. 가짜 신분증을 내밀어 시스템의 제한을 무력화하는 것과 같습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Parse Server uses the request header `x-forwarded-for` to determine the client IP address. If Parse Server doesn't run behind a proxy server, then a client can set this header and Parse Server will trust the value of the header. The incorrect client IP address will be used by various features in Parse Server. This allows to circumvent the security mechanism of the Parse Server option `masterKeyIps` by setting an allowed IP address as the `x-forwarded-for` header value. This issue has been patched in version 5.4.1. The mechanism to determine the client IP address has been rewritten. The correct IP address determination now requires to set the Parse Server option `trustProxy`.
📍 영향받는 시스템
Parse Server 5.4.1 미만 버전
⚔️ 공격 벡터
HTTP 요청 헤더의 `x-forwarded-for` 값을 조작하여 허용된 IP로 위장
🛡️ 대응 방법
Parse Server를 5.4.1 이상 버전으로 업데이트하고 `trustProxy` 옵션을 올바르게 설정
🔧 검증 코드
출력된 parse-server의 버전이 5.4.1보다 낮은지 확인