🇰🇷 한글 설명
xml-crypto 라이브러리의 XML 디지털 서명 검증 우회 취약점으로, 공격자가 서명된 XML 문서를 조작하면서도 서명 검증을 통과시킬 수 있습니다. 이를 통해 권한 상승, 사용자 도용, 인증/인가 메커니즘 우회가 가능합니다.
💡 쉬운 설명
전자서명이 있는 XML 문서를 몰래 변조해도 유효한 것처럼 보이게 하는 버그입니다. 악의적 사용자가 타인의 신원을 도용하거나 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
xml-crypto is an XML digital signature and encryption library for Node.js. An attacker may be able to exploit a vulnerability in versions prior to 6.0.1, 3.2.1, and 2.1.6 to bypass authentication or authorization mechanisms in systems that rely on xml-crypto for verifying signed XML documents. The vulnerability allows an attacker to modify a valid signed XML message in a way that still passes signature verification checks. For example, it could be used to alter critical identity or access control attributes, enabling an attacker to escalate privileges or impersonate another user. Users of versions 6.0.0 and prior should upgrade to version 6.0.1 to receive a fix. Those who are still using v2.x or v3.x should upgrade to patched versions 2.1.6 or 3.2.1, respectively.
📍 영향받는 시스템
xml-crypto v6.0.0 이하, v3.2.1 미만, v2.1.6 미만 (Node.js)
⚔️ 공격 벡터
서명된 XML 메시지 변조하여 서명 검증 우회 및 ID/접근제어 속성 조작
🛡️ 대응 방법
xml-crypto를 v6.0.1, v3.2.1, v2.1.6 이상으로 업그레이드
🔧 검증 코드
버전이 6.0.1 이상(또는 3.2.1, 2.1.6 이상)이면 안전, 그 이하면 즉시 업그레이드 필요
npm list xml-crypto 2>/dev/null | grep -E 'xml-crypto@|xml-crypto'