🇰🇷 한글 설명
Vite 프레임워크의 특정 버전에서 import 분석 시 정제된 모듈 식별자 대신 루트 상대 브라우저 URL을 기록하는 취약점이 발견되었습니다. 네트워크에 연결된 비-Windows 개발 서버에서 공격자가 프로젝트 파일의 URL을 호스트 절대 경로와 일치시킴으로써 프로젝트 루트 외부의 파일을 노출시킬 수 있습니다. 다만, 이는 임의의 경로 탐색(Path Traversal)을 허용하지는 않으며 애플리케이션 그래프에 의해 승인된 경로 내로 제한됩니다.
💡 쉬운 설명
개발 도구인 Vite를 사용할 때, 공격자가 특수한 주소를 이용해 프로젝트 폴더 바깥에 있는 파일을 몰래 읽어갈 수 있는 보안 허점이 있습니다. 하지만 아무 파일이나 다 볼 수 있는 것은 아니며, 특정 규칙을 따르는 파일만 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, import analysis can record a root-relative browser URL in safeModulePaths instead of the cleaned resolved module identifier. On a network-accessible, non-Windows development server, an imported project file whose URL matches an absolute host path can authorize a later raw-filesystem request for that host file, provided server.fs.deny does not block it. The request can disclose the matching file outside the project root, but it does not allow arbitrary path traversal because the host path must correspond to a project-relative URL authorized by the application graph. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3.
📍 영향받는 시스템
Vite versions prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3
⚔️ 공격 벡터
네트워크에 노출된 개발 서버를 대상으로 프로젝트 파일의 URL을 호스트 절대 경로와 일치시켜 파일 노출 유도
🛡️ 대응 방법
Vite를 최신 보안 패치 버전(6.4.4, 7.3.7, 8.1.6, 8.2.4, 8.3.3 이상)으로 업데이트
🔧 검증 코드
출력된 Vite의 버전을 확인하여 취약점이 해결된 버전(6.4.4, 7.3.7, 8.1.6, 8.2.4, 8.3.3 이상)인지 대조
npm list vite | grep vite
💻 영향받는 소프트웨어
IBM WebSphere Application Server