🇰🇷 한글 설명
Parse Server의 파일 업로드 기능에서 제공된 URI로부터 파일 데이터를 검색할 때 발생하는 SSRF 취약점입니다. 공격자는 임의의 URI를 통해 요청을 실행할 수 있으며, 서버가 응답을 받으면 충돌합니다.
💡 쉬운 설명
Parse Server가 사용자가 제공한 웹 주소로 파일을 다운로드할 때, 악의적인 주소로 유도되어 내부 시스템에 접근할 수 있는 취약점입니다. 이를 통해 공격자는 서버 내부의 정보를 탈취하거나 다른 시스템을 공격할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In versions 4.2.0 through 7.5.3, and 8.0.0 through 8.3.1-alpha.1, there is a Server-Side Request Forgery (SSRF) vulnerability in the file upload functionality when trying to upload a Parse.File with uri parameter, allowing execution of an arbitrary URI. The vulnerability stems from a file upload feature in which Parse Server retrieves the file data from a URI that is provided in the request. A request to the provided URI is executed, but the response is not stored in Parse Server's file storage as the server crashes upon receiving the response. This issue is fixed in versions 7.5.4 and 8.4.0-alpha.1.
📍 영향받는 시스템
Parse Server 4.2.0-7.5.3, 8.0.0-8.3.1-alpha.1
⚔️ 공격 벡터
Parse.File의 uri 파라미터에 악의적인 URI를 제공하여 서버측 요청 위조(SSRF) 공격 실행
🛡️ 대응 방법
Parse Server를 7.5.4 또는 8.4.0-alpha.1 이상 버전으로 업그레이드
🔧 검증 코드
현재 설치된 Parse Server 버전이 7.5.4 미만 또는 8.0.0-8.3.1 사이이면 취약함. 7.5.4 이상 또는 8.4.0-alpha.1 이상으로 업그레이드 필요
npm list parse-server 2>/dev/null | grep parse-server | awk '{print $2}'