🇰🇷 한글 설명
Parse Server 8.2.2 미만 8.6.92 버전 및 9.0.0 미만 9.10.1-alpha.12 버전에서 정보 노출 취약점이 발견되었습니다. 공개 인트로스펙션이 비활성화된 상태에서도 GraphQL 검증 오류 메시지를 통해 숨겨진 클래스 이름이 노출될 수 있습니다. 인증되지 않은 공격자가 공개된 Application Id만 사용하여 조작된 요청을 보냄으로써 내부 포인터 및 관계 대상 클래스 정보를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 특수한 질문을 던지면 서버가 실수로 내부의 비밀 설계도(클래스 이름)를 답변에 포함해 알려주는 문제입니다. 이를 통해 해커는 서버 내부 구조를 파악하여 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Parse Server 8.2.2 before 8.6.92 and 9.0.0 before 9.10.1-alpha.12 contains an information disclosure vulnerability in which GraphQL validation error messages reveal hidden class names when public introspection is disabled. Unauthenticated attackers holding only the public Application Id can send crafted operations triggering unknown-argument or invalid enum value errors to learn pointer and relation target classes.
📍 영향받는 시스템
Parse Server 8.2.2 < 8.6.92, 9.0.0 < 9.10.1-alpha.12
⚔️ 공격 벡터
공개된 Application Id를 이용해 조작된 GraphQL 쿼리를 전송하여 오류 메시지 유도
🛡️ 대응 방법
Parse Server를 최신 보안 패치가 적용된 버전(8.6.92 이상 또는 9.10.1-alpha.12 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위(8.2.2~8.6.91 또는 9.0.0~9.10.1-alpha.11)에 해당하면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@(8\.[0-6]\.|9\.[1-9]\.)'
💻 영향받는 소프트웨어
IBM WebSphere Application Server