🇰🇷 한글 설명
Sentry-Javascript SDK 10.11.0~10.27.0 버전에서 sendDefaultPii 옵션이 활성화되면 쿠키를 포함한 민감한 HTTP 헤더가 Sentry 서버로 전송되는 취약점입니다. Sentry 조직에 접근권한이 있는 공격자가 이 정보를 확인하여 세션 탈취나 권한 상승 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트 로그를 기록하는 Sentry 라이브러리가 접속 정보(쿠키)를 외부로 전송할 수 있는 버그입니다. 이 정보를 보는 사람이 다른 사용자로 로그인하거나 관리자 권한을 얻을 수 있게 됩니다.
🇺🇸 원문 (English)
Sentry-Javascript is an official Sentry SDKs for JavaScript. From version 10.11.0 to before 10.27.0, when a Node.js application using the Sentry SDK has sendDefaultPii: true it is possible to inadvertently send certain sensitive HTTP headers, including the Cookie header, to Sentry. Those headers would be stored within a Sentry organization as part of the associated trace. A person with access to the Sentry organization could then view and use these sensitive values to impersonate or escalate their privileges within the application. This issue has been patched in version 10.27.0.
📍 영향받는 시스템
Node.js 애플리케이션의 Sentry-Javascript SDK 10.11.0 ~ 10.27.0 이전 버전
⚔️ 공격 벡터
sendDefaultPii: true 설정이 있는 Node.js 앱에서 HTTP 헤더(쿠키)가 Sentry로 전송되고 조직 멤버가 이를 확인하여 세션 탈취
🛡️ 대응 방법
Sentry-Javascript SDK를 10.27.0 이상으로 업그레이드하거나 sendDefaultPii 설정을 false로 변경
🔧 검증 코드
@sentry/node 버전이 10.27.0 이상이면 안전하며, 10.27.0 미만이거나 'not installed'면 즉시 업그레이드 필요합니다.
npm list @sentry/node 2>/dev/null | grep -E '@sentry/node|version' || echo 'Sentry SDK not installed'