🇰🇷 한글 설명
Node.js의 실험적 정책 메커니즘에서 권한 상승 취약점이 발견되었습니다. 더 이상 사용되지 않는 `process.binding()` API를 사용하여 `policy.json` 파일에 정의된 제한을 우회하고 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Node.js의 보안 규칙을 무시하고 해커가 허용되지 않은 명령을 실행할 수 있는 약점이 있습니다. 이는 보안 설정이 적용된 환경에서도 공격자가 권한을 높여 시스템을 장악할 수 있음을 의미합니다.
🇺🇸 원문 (English)
A privilege escalation vulnerability exists in the experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. The use of the deprecated API `process.binding()` can bypass the policy mechanism by requiring internal modules and eventually take advantage of `process.binding('spawn_sync')` run arbitrary code, outside of the limits defined in a `policy.json` file. Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 16.x, 18.x, 20.x (실험적 정책 메커니즘 사용 시)
⚔️ 공격 벡터
deprecated된 `process.binding()` API를 호출하여 보안 정책을 우회하고 임의의 코드를 실행
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용하지 않는 deprecated API 사용을 지양함
🔧 검증 코드
명령어 실행 결과 'Vulnerable API found'가 출력되면 해당 API를 사용할 수 있는 취약한 환경일 가능성이 높습니다.
node -e 'try { console.log(process.binding); console.log("Vulnerable API found"); } catch (e) { console.log("API not accessible"); }'