🇰🇷 한글 설명
Node.js의 실험적 기능인 정책(Policy) 메커니즘이 리소스의 무결성을 검증할 때, 애플리케이션이 조작된 체크섬을 반환하여 무결성 검사를 무력화할 수 있는 취약점입니다. 이로 인해 신뢰할 수 없는 코드가 실행될 위험이 있습니다.
💡 쉬운 설명
프로그램이 파일이 변조되었는지 확인하는 과정에서, 공격자가 가짜 확인증을 내밀어 변조된 파일임을 숨길 수 있는 문제입니다. 결과적으로 보안 검사를 통과한 것처럼 속여 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
When the Node.js policy feature checks the integrity of a resource against a trusted manifest, the application can intercept the operation and return a forged checksum to the node's policy implementation, thus effectively disabling the integrity check.
Impacts:
This vulnerability affects all users using the experimental policy mechanism in all active release lines: 18.x and, 20.x.
Please note that at the time this CVE was issued, the policy mechanism is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 18.x 및 20.x 버전 중 실험적 정책(Policy) 기능을 사용하는 모든 시스템
⚔️ 공격 벡터
애플리케이션이 무결성 검증 과정에서 조작된 체크섬을 반환하도록 가로채는 방식
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 실험적 정책 기능 사용 시 주의가 필요합니다.
🔧 검증 코드
출력된 버전이 Node.js 18.x 또는 20.x의 취약한 버전인지 확인합니다.