🇰🇷 한글 설명
Signal K Server의 appstore 인터페이스에서 REST API를 통해 npm 패키지를 설치할 때 발생하는 취약점입니다. 버전 매개변수에 URL이나 Git 저장소 주소를 포함할 수 있어, 관리자 권한을 가진 공격자가 악성 postinstall 스크립트가 포함된 패키지를 설치하여 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 가짜 주소를 입력하여 서버에 악성 프로그램을 몰래 설치할 수 있는 문제입니다. 이 과정에서 서버가 공격자가 만든 코드를 자동으로 실행하게 되어 시스템이 장악될 수 있습니다.
🇺🇸 원문 (English)
Signal K Server is a server application that runs on a central hub in a boat. Versions prior to 2.19.0 of the appstore interface allow administrators to install npm packages through a REST API endpoint. While the endpoint validates that the package name exists in the npm registry as a known plugin or webapp, the version parameter accepts arbitrary npm version specifiers including URLs. npm supports installing packages from git repositories, GitHub shorthand syntax, and HTTP/HTTPS URLs pointing to tarballs. When npm installs a package, it can automatically execute any `postinstall` script defined in `package.json`, enabling arbitrary code execution. The vulnerability exists because npm's version specifier syntax is extremely flexible, and the SignalK code passes the version parameter directly to npm without sanitization. An attacker with admin access can install a package from an attacker-controlled source containing a malicious `postinstall` script. Version 2.19.0 contains a patch for the issue.
📍 영향받는 시스템
Signal K Server appstore interface versions prior to 2.19.0
⚔️ 공격 벡터
관리자 권한을 이용해 REST API의 버전 매개변수에 악성 URL을 전달하여 패키지 설치 유도
🛡️ 대응 방법
Signal K Server를 2.19.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 Signal K의 버전을 확인하여 2.19.0 미만인지 체크합니다.
npm list -g --depth=0 | grep 'signal-k' || echo 'Signal K not found via npm'