🇰🇷 한글 설명
module.constructor.createRequire() 함수를 사용하여 정책 메커니즘을 우회하고 policy.json에 정의되지 않은 외부 모듈을 불러올 수 있는 취약점입니다. 이 문제는 Node.js의 실험적 기능인 정책 메커니즘을 사용하는 모든 활성 릴리스 버전에서 발생합니다.
💡 쉬운 설명
보안 규칙을 통해 허용된 프로그램만 실행하도록 설정해 두었음에도, 특정 명령어를 사용하면 규칙을 어기고 허가되지 않은 프로그램을 몰래 실행할 수 있는 문제입니다. 이는 보안 설정이 무력화될 수 있음을 의미합니다.
🇺🇸 원문 (English)
The use of `module.constructor.createRequire()` can bypass the policy mechanism and require modules outside of the policy.json definition for a given module.
This vulnerability affects all users using the experimental policy mechanism in all active release lines: 16.x, 18.x, and, 20.x.
Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 16.x, 18.x, 20.x (실험적 정책 메커니즘 사용 시)
⚔️ 공격 벡터
특정 함수(createRequire)를 호출하여 보안 정책(policy.json)에 정의되지 않은 외부 모듈을 강제로 로드하는 방식
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Node.js 버전이 취약점이 해결된 최신 패치 버전인지 확인하십시오.