🇰🇷 한글 설명
Parse Server의 특정 버전에서 유효하지 않은 Cloud Function 또는 Cloud Job 이름을 호출할 경우 서버가 충돌하거나 코드 주입, 내부 저장소 조작, 원격 코드 실행(RCE)이 발생할 수 있는 취약점입니다. 이 문제는 이름에 대한 적절한 문자열 검증이 이루어지지 않아 발생합니다.
💡 쉬운 설명
서버에 명령을 내릴 때 이름 부분에 악성 코드를 섞어 보내면 서버가 고장 나거나 해커가 서버를 마음대로 조종할 수 있는 위험한 문제입니다. 이름에 이상한 글자가 들어오지 못하게 막는 기능이 부족해서 발생합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 6.5.5 and 7.0.0-alpha.29, calling an invalid Parse Server Cloud Function name or Cloud Job name crashes the server and may allow for code injection, internal store manipulation or remote code execution. The patch in versions 6.5.5 and 7.0.0-alpha.29 added string sanitation for Cloud Function name and Cloud Job name. As a workaround, sanitize the Cloud Function name and Cloud Job name before it reaches Parse Server.
📍 영향받는 시스템
Parse Server 6.5.5 미만 버전 및 7.0.0-alpha.29 미만 버전
⚔️ 공격 벡터
유효하지 않은 Cloud Function 또는 Cloud Job 이름을 호출하여 악성 페이로드 전달
🛡️ 대응 방법
Parse Server를 6.5.5 또는 7.0.0-alpha.29 이상의 버전으로 업데이트하거나, 호출 전 이름에 대한 문자열 정화(Sanitization)를 수행
🔧 검증 코드
출력된 parse-server의 버전이 6.5.5 또는 7.0.0-alpha.29보다 낮은지 확인