🇰🇷 한글 설명
oak는 Deno, Node.js, Cloudflare Workers 등을 지원하는 미들웨어 프레임워크입니다. v17.1.3 이전에 Context.send API의 숨겨진 파일 접근 제한을 /를 %2F로 URL 인코딩하여 우회할 수 있어, 공격자가 민감한 사용자 데이터나 서버 시크릿에 접근 가능했습니다.
💡 쉬운 설명
oak 웹 프레임워크에서 보호되어야 할 숨겨진 파일들을 특수한 방식의 URL 요청으로 접근할 수 있는 보안 문제입니다. 공격자가 이를 악용하면 서버의 중요한 설정 파일이나 사용자 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
`oak` is a middleware framework for Deno's native HTTP server, Deno Deploy, Node.js 16.5 and later, Cloudflare Workers and Bun. By default `oak` does not allow transferring of hidden files with `Context.send` API. However, prior to version 17.1.3, this can be bypassed by encoding `/` as its URL encoded form `%2F`. For an attacker this has potential to read sensitive user data or to gain access to server secrets. Version 17.1.3 fixes the issue.
📍 영향받는 시스템
oak < 17.1.3 (Deno, Deno Deploy, Node.js 16.5+, Cloudflare Workers, Bun)
⚔️ 공격 벡터
Context.send API 호출 시 경로에 URL 인코딩된 슬래시(%2F)를 사용하여 접근 제어 우회
🛡️ 대응 방법
oak를 17.1.3 이상으로 업그레이드
🔧 검증 코드
설치된 oak의 버전을 확인하여 17.1.3 이상인지 검증합니다.
npm ls oak 2>/dev/null | grep oak || deno info 2>/dev/null | grep oak