🇰🇷 한글 설명
Node.js용 임시 파일 및 디렉토리 생성 라이브러리인 tmp의 0.2.3 이하 버전에서 심볼릭 링크(symbolic link)를 이용한 임의 파일 또는 디렉토리 쓰기 취약점이 발견되었습니다. 이 취약점은 dir 파라미터를 통해 공격자가 의도하지 않은 경로에 파일을 생성할 수 있게 합니다. 해당 문제는 0.2.4 버전에서 수정되었습니다.
💡 쉬운 설명
임시 파일을 만드는 프로그램이 경로를 제대로 확인하지 않아, 공격자가 가짜 연결 통로(심볼릭 링크)를 만들어 시스템의 중요한 파일을 덮어쓸 수 있는 문제입니다. 이를 통해 시스템 설정이 망가지거나 보안이 약화될 수 있습니다.
🇺🇸 원문 (English)
tmp is a temporary file and directory creator for node.js. In versions 0.2.3 and below, tmp is vulnerable to an arbitrary temporary file / directory write via symbolic link dir parameter. This is fixed in version 0.2.4.
📍 영향받는 시스템
tmp 라이브러리 0.2.3 및 그 이하 모든 버전
⚔️ 공격 벡터
dir 파라미터에 조작된 심볼릭 링크를 전달하여 임의의 경로에 파일/디렉토리 쓰기 수행
🛡️ 대응 방법
tmp 라이브러리를 0.2.4 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력 결과에서 tmp의 버전이 0.2.3 이하인지 확인