🇰🇷 한글 설명
huandu/facebook Go 패키지에서 HTTP 요청 실패 시 에러 메시지에 access_token이 노출되는 정보 유출 취약점입니다. 민감한 인증 정보가 로그나 에러 응답을 통해 공격자에게 유출될 수 있으며, 버전 2.7.2에서 수정되었습니다.
💡 쉬운 설명
페이스북 API를 사용하는 Go 앱에서 오류 발생 시 인증 토큰이 실수로 노출될 수 있습니다. 공격자가 이를 탈취하여 다른 사용자 계정에 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
github.com/huandu/facebook is a Go package that fully supports the Facebook Graph API with file upload, batch request and marketing API. access_token can be exposed in error message on fail in HTTP request. This issue has been patched in version 2.7.2.
📍 영향받는 시스템
github.com/huandu/facebook Go 패키지 버전 2.7.2 미만
⚔️ 공격 벡터
응용 프로그램 오류를 유발하여 에러 메시지에서 노출된 access_token을 수집하는 정보 유출 공격
🛡️ 대응 방법
github.com/huandu/facebook를 2.7.2 이상으로 업그레이드
🔧 검증 코드
go.mod에서 facebook 패키지의 버전이 v2.7.2 이상인지 확인하면 됩니다.
grep 'github.com/huandu/facebook' go.mod 2>/dev/null | awk '{print $2}' || echo 'go.mod not found'