🇰🇷 한글 설명
Node.js의 node:fs 함수에서 경로를 정규화할 때 사용하는 내장 유틸리티 함수가 사용자 정의 구현으로 덮어씌워질 수 있는 취약점입니다. 이를 통해 경로 탐색(Path Traversal) 공격이 가능해지며, 결과적으로 파일 시스템 권한 모델을 우회할 수 있습니다. 이 취약점은 Node.js 20 및 21 버전에서 실험적 권한 모델을 사용하는 모든 사용자에게 영향을 미칩니다.
💡 쉬운 설명
Node.js의 보안 기능이 경로를 확인하는 과정에서 규칙을 무시하도록 속일 수 있는 결함이 발견되었습니다. 공격자가 이 규칙을 조작하면 허용되지 않은 파일에 접근하거나 시스템 파일을 마음대로 다룰 수 있습니다.
🇺🇸 원문 (English)
Node.js depends on multiple built-in utility functions to normalize paths provided to node:fs functions, which can be overwitten with user-defined implementations leading to filesystem permission model bypass through path traversal attack.
This vulnerability affects all users using the experimental permission model in Node.js 20 and Node.js 21.
Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 20 및 21 버전 중 실험적 권한 모델(Experimental Permission Model)을 사용하는 환경
⚔️ 공격 벡터
내장 유틸리티 함수를 사용자 정의 함수로 덮어씌워 경로 정규화 과정을 조작하는 경로 탐색 공격
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 Node.js 20 또는 21 버전인지 확인하고, 해당 버전에서 실험적 권한 모델을 활성화하여 사용하는지 점검하십시오.