🇰🇷 한글 설명
Parse Server의 8.6.0-alpha.2 미만 버전에서 GitHub CI 워크플로우가 과도한 권한을 부여받는 취약점이 발견되었습니다. 공격자가 포크된 코드나 라이프사이클 스크립트를 통해 GitHub Actions의 비밀 정보에 접근하거나 쓰기 권한을 탈취할 수 있습니다. 이 문제는 해당 저장소의 CI/CD 인프라와 GitHub Actions가 활성화된 공개 포크 저장소에 영향을 미칩니다.
💡 쉬운 설명
개발 도구인 Parse Server의 설정 오류로 인해, 누군가 만든 코드를 실행할 때 관리자의 비밀번호나 중요한 설정값을 몰래 훔쳐갈 수 있는 문제입니다. 이로 인해 개발 환경의 보안이 통째로 뚫릴 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that runs Node.js. In versions prior to 8.6.0-alpha.2, a GitHub CI workflow is triggered in a way that grants the GitHub Actions workflow elevated permissions, giving it access to GitHub secrets and write permissions which are defined in the workflow. Code from a fork or lifecycle scripts is potentially included. Only the repository's CI/CD infrastructure is affected, including any public GitHub forks with GitHub Actions enabled. This issue is fixed version 8.6.0-alpha.2 and commits 6b9f896 and e3d27fe.
📍 영향받는 시스템
Parse Server 8.6.0-alpha.2 미만 버전 (GitHub Actions를 사용하는 환경)
⚔️ 공격 벡터
포크된 저장소의 코드 또는 라이프사이클 스크립트를 이용한 GitHub Actions 권한 상승 공격
🛡️ 대응 방법
Parse Server를 8.6.0-alpha.2 버전 이상으로 업데이트하거나 관련 커밋(6b9f896, e3d27fe)을 적용하십시오.
🔧 검증 코드
출력된 버전이 8.6.0-alpha.2 미만이라면 취약한 상태이므로 즉시 업데이트가 필요합니다.
npm list parse-server | grep -E 'parse-server@([0-8]\.[0-5]\.[0-9]|8\.6\.0-alpha\.2|[9-9])'