🇰🇷 한글 설명
Node.js 20 버전의 실험적 권한 모델에서 --allow-fs-read 플래그를 사용할 때 발생하는 취약점입니다. fs.statfs API를 통해 명시적인 읽기 권한이 없는 파일의 상태 정보를 가져올 수 있는 결함이 존재합니다.
💡 쉬운 설명
파일을 직접 읽을 권한이 없더라도, 파일의 크기나 생성일 같은 정보(메타데이터)를 몰래 훔쳐볼 수 있는 문제입니다. Node.js의 새로운 보안 기능을 사용할 때 발생할 수 있는 허점입니다.
🇺🇸 원문 (English)
A vulnerability has been identified in Node.js version 20, affecting users of the experimental permission model when the --allow-fs-read flag is used with a non-* argument.
This flaw arises from an inadequate permission model that fails to restrict file stats through the `fs.statfs` API. As a result, malicious actors can retrieve stats from files that they do not have explicit read access to.
This vulnerability affects all users using the experimental permission model in Node.js 20.
Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 20 버전 (실험적 권한 모델 사용 시)
⚔️ 공격 벡터
fs.statfs API를 호출하여 권한이 제한된 파일의 메타데이터를 조회
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하거나 실험적 권한 모델 사용 시 주의
🔧 검증 코드
출력된 결과가 v20으로 시작하면 해당 취약점이 발생할 수 있는 영향권 버전입니다.
node -v | grep -E '^v20\.'