🇰🇷 한글 설명
Node.js의 실험적 권한(Permissions) 기능을 우회하여 권한이 없는 모듈에 접근할 수 있는 권한 상승 취약점입니다. process.mainModule.require()를 사용하여 제한된 환경을 벗어날 수 있습니다. 이 취약점은 --experimental-policy 옵션을 활성화한 사용자에게만 영향을 미칩니다.
💡 쉬운 설명
Node.js에서 특정 파일이나 기능에 접근하지 못하도록 설정한 보안 규칙을 몰래 뚫고 들어갈 수 있는 문제입니다. 보안 설정을 켜두었더라도 특정 명령어를 통해 금지된 영역에 접근할 수 있습니다.
🇺🇸 원문 (English)
A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.
📍 영향받는 시스템
Node.js <19.6.1, <18.14.1, <16.19.1, <14.21.3 (experimental-policy 사용 시)
⚔️ 공격 벡터
process.mainModule.require() 함수를 호출하여 실험적 권한 정책을 우회하고 비인가 모듈에 접근
🛡️ 대응 방법
Node.js를 최신 보안 패치 버전(19.6.1, 18.14.1, 16.19.1, 14.21.3 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(예: 18.14.1 이상 등)인지 확인