🇰🇷 한글 설명
@casl/ability 6.7.5 미만 7.0.2 버전에서 rulesToFields() 함수 내 프로토타입 오염 취약점이 발견되었습니다. 공격자가 점 표기법(dotted notation)을 사용한 조건 키를 통해 상속된 내장 객체를 수정할 수 있으며, 이는 Node.js 프로세스 전체의 내장 함수를 변경하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설계도를 몰래 수정하여 시스템을 고장 내는 취약점입니다. 공격자가 특수한 값을 입력하면 프로그램이 정상적인 동작을 멈추게 만들 수 있습니다.
🇺🇸 원문 (English)
@casl/ability 6.7.5 before 7.0.2 contains a prototype pollution vulnerability in rulesToFields() that allows attackers to modify inherited builtins via dotted condition keys. Attackers controlling rule conditions can supply keys like 'toString.call' to alter shared builtin functions process-wide, causing denial of service for the Node.js process.
📍 영향받는 시스템
@casl/ability 6.7.5 미만 7.0.2 버전
⚔️ 공격 벡터
규칙 조건(rule conditions)에 'toString.call'과 같은 점 표기법 키를 주입하여 내장 객체 오염
🛡️ 대응 방법
@casl/ability 라이브러리를 7.0.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 7.0.2 미만(예: 6.7.5)인지 확인하여 취약 여부를 판단합니다.