🇰🇷 한글 설명
Parse Server 8.2.2 이전 버전 및 9.0.0 이전 버전에서 GraphQL 인트로스펙션 제어가 Apollo Server의 자동 지속 쿼리(APQ) 캐시에는 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 Application Id와 클라이언트 키를 사용하여 캐시된 인트로스펙션 쿼리를 재전송함으로써, 비공개 클래스 및 필드 이름을 포함한 스키마 정보를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 서버에 저장된 예전 질문 기록을 몰래 다시 불러와서, 서버 내부의 설계도(스키마)를 훔쳐볼 수 있는 문제입니다. 이를 통해 서버의 숨겨진 데이터 구조를 파악하여 다음 공격에 악용할 수 있습니다.
🇺🇸 원문 (English)
Parse Server 8.2.2 before 8.6.94 and 9.0.0 before 9.10.1-alpha.14 applies its GraphQL introspection control only to operation text sent directly with a request, not to operations resolved from Apollo Server's automatic persisted query cache. Unauthenticated attackers holding the public Application Id and client key can replay an introspection query previously cached by a master or maintenance key client to retrieve the schema, including private class and field names.
📍 영향받는 시스템
Parse Server 8.2.2 미만 버전 및 9.0.0 ~ 9.10.1-alpha.14 미만 버전
⚔️ 공격 벡터
공개된 Application Id와 클라이언트 키를 이용한 캐시된 GraphQL 인트로스펙션 쿼리 재전송
🛡️ 대응 방법
Parse Server를 8.6.94 또는 9.10.1-alpha.14 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
npm list parse-server | grep -E 'parse-server@(8\.[0-6]\.[9-4]|9\.[1-9]\.)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server