🇰🇷 한글 설명
GraphQL Mesh의 정적 파일 핸들러에서 경로 검증 누락 취약점이 발견되었습니다. 이로 인해 설정된 정적 파일 디렉토리를 벗어나 서버 파일 시스템의 임의 파일에 접근할 수 있습니다.
💡 쉬운 설명
웹 서버가 정해진 폴더 안의 파일만 보여줘야 하는데, 검사 과정이 빠져서 서버 전체의 중요한 파일을 몰래 볼 수 있는 문제입니다. 공격자가 경로 조작을 통해 서버 내부의 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
GraphQL Mesh is a GraphQL Federation framework and gateway for both GraphQL Federation and non-GraphQL Federation subgraphs, non-GraphQL services, such as REST and gRPC, and also databases such as MongoDB, MySQL, and PostgreSQL. Missing check vulnerability in the static file handler allows any client to access the files in the server's file system. When `staticFiles` is set in the `serve` settings in the configuration file, the following handler doesn't check if `absolutePath` is still under the directory provided as `staticFiles`. Users have two options to fix vulnerability; 1. Update `@graphql-mesh/cli` to a version higher than `0.82.21`, and if you use `@graphql-mesh/http`, update it to a version higher than `0.3.18` 2. Remove `staticFiles` option from the configuration, and use other solutions to serve static files.
📍 영향받는 시스템
@graphql-mesh/cli <= 0.82.21 및 @graphql-mesh/http <= 0.3.18
⚔️ 공격 벡터
정적 파일 경로 조작(Path Traversal)을 통한 서버 파일 시스템 접근
🛡️ 대응 방법
@graphql-mesh/cli를 0.82.21 이상으로, @graphql-mesh/http를 0.3.18 이상으로 업데이트하거나 설정에서 staticFiles 옵션을 제거하십시오.
🔧 검증 코드
출력된 버전이 @graphql-mesh/cli 0.82.21 미만 또는 @graphql-mesh/http 0.3.18 미만인지 확인하십시오.
npm list @graphql-mesh/cli @graphql-mesh/http