🇰🇷 한글 설명
Parse Server에서 allowCustomObjectId 옵션이 true로 설정된 경우, 공격자가 새로운 사용자를 생성할 때 특정 객체 ID를 임의로 지정할 수 있습니다. 이를 통해 공격자는 특정 역할의 권한을 탈취하여 시스템 권한을 획득할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
사용자 가입 시 아이디를 마음대로 정할 수 있는 설정 오류를 이용한 공격입니다. 공격자가 관리자처럼 보이는 아이디를 만들어 시스템의 중요한 권한을 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. If the Parse Server option allowCustomObjectId: true is set, an attacker that is allowed to create a new user can set a custom object ID for that new user that exploits the vulnerability and acquires privileges of a specific role. This vulnerability is fixed in 6.5.9 and 7.3.0.
📍 영향받는 시스템
Parse Server (allowCustomObjectId: true 설정 시, 6.5.9 및 7.3.0 미만 버전)
⚔️ 공격 벡터
사용자 생성 권한을 가진 공격자가 취약한 설정을 악용하여 특정 권한을 가진 ID로 사용자 등록 시도
🛡️ 대응 방법
Parse Server를 최신 보안 패치가 적용된 버전(6.5.9 또는 7.3.0 이상)으로 업데이트하거나 allowCustomObjectId 옵션을 false로 변경
🔧 검증 코드
출력된 parse-server의 버전이 6.5.9 또는 7.3.0 미만인지 확인