🇰🇷 한글 설명
Node.js 20의 실험적 권한 모델에서 fs.mkdtemp() 및 fs.mkdtempSync() 함수가 경로 탐색(Path Traversal) 공격을 통해 권한 모델 검사를 우회할 수 있는 취약점이 발견되었습니다. 이 결함으로 인해 공격자가 허용되지 않은 임의의 디렉토리를 생성할 수 있습니다.
💡 쉬운 설명
Node.js의 특정 기능을 사용할 때, 정해진 폴더가 아닌 엉뚱한 곳에 폴더를 만들 수 있는 보안 구멍이 발견되었습니다. 나쁜 의도를 가진 사람이 이 기능을 이용해 시스템의 중요한 위치에 폴더를 만들어 문제를 일으킬 수 있습니다.
🇺🇸 원문 (English)
`fs.mkdtemp()` and `fs.mkdtempSync()` can be used to bypass the permission model check using a path traversal attack. This flaw arises from a missing check in the fs.mkdtemp() API and the impact is a malicious actor could create an arbitrary directory.
This vulnerability affects all users using the experimental permission model in Node.js 20.
Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 20 버전 중 실험적 권한 모델(Experimental Permission Model)을 사용하는 모든 사용자
⚔️ 공격 벡터
경로 탐색(Path Traversal)을 이용한 권한 검사 우회 및 임의 디렉토리 생성
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하거나 실험적 권한 모델 사용 시 주의가 필요합니다.
🔧 검증 코드
출력된 버전이 v20.x.x 형태라면 해당 취약점이 포함된 영향권 버전일 가능성이 높으므로 최신 패치 여부를 확인해야 합니다.
node -v | grep -E '^v20\.'