🇰🇷 한글 설명
Tinypool 2.1.2 미만 버전에서 pool.run(task, options) 호출 시 옵션 객체의 속성을 검증하지 않아 발생하는 프로토타입 오염 취약점입니다. 공격자가 Object.prototype.filename을 오염시키면 의도하지 않은 워커 모듈을 로드하여 호스트 프로세스 권한으로 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설정값을 몰래 바꿔치기하여 해커가 원하는 악성 코드를 실행하게 만드는 취약점입니다. 이를 통해 해커는 컴퓨터 내의 데이터를 읽거나 수정할 수 있는 권한을 얻게 됩니다.
🇺🇸 원문 (English)
Tinypool is a minimal Node.js worker thread pool implementation. Prior to 2.1.2, Tinypool reads filename from a caller-supplied options object in pool.run(task, options) without requiring an own property, so a polluted Object.prototype.filename can replace the intended worker module. Applications are affected only when they pass their own second-argument options object to pool.run(); calls without that argument use the trusted default options object. An attacker who can first pollute the prototype can cause the worker pool to load attacker-selected JavaScript and can read or modify task data with the host process's privileges. This issue is fixed in version 2.1.2.
📍 영향받는 시스템
Tinypool 버전 2.1.2 미만
⚔️ 공격 벡터
프로토타입 오염(Prototype Pollution)을 통해 Object.prototype.filename 속성을 조작하여 악성 모듈 로드
🛡️ 대응 방법
Tinypool을 최신 버전인 2.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 tinypool의 버전이 2.1.2 미만인지 확인하십시오.