🇰🇷 한글 설명
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.1 이전 버전의 forge.http 클라이언트는 Set-Cookie 응답 헤더의 쿠키 이름과 경로를 일반 JavaScript 객체에 저장하여, 악의적인 서버가 __proto__나 constructor 같은 이름을 사용해 Object.prototype을 변조할 수 있습니다. 이 문제는 1.4.1 버전에서 수정되었습니다.
💡 쉬운 설명
웹 통신을 암호화하는 보안 라이브러리의 취약점으로, 악의적인 서버가 쿠키 처리 과정을 이용해 프로그램의 기본 객체 설정을 바꿀 수 있습니다. forge.http를 사용하는 애플리케이션만 영향을 받습니다.
🇺🇸 원문 (English)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the forge.http client stored cookie names and paths from Set-Cookie response headers in ordinary JavaScript objects. A malicious server could use the cookie name __proto__ so that the attacker-controlled cookie path was written as a property on Object.prototype, or use inherited names such as constructor to modify Object. An empty cookie value could use the removal path to delete an inherited Object.prototype property. Applications using forge.http directly or through forge.xhr are affected; applications that do not use forge.http are unaffected. This issue is fixed in version 1.4.1.
📍 영향받는 시스템
node-forge 1.4.1 미만 버전을 forge.http 또는 forge.xhr로 사용하는 Node.js/JavaScript 애플리케이션
⚔️ 공격 벡터
악의적인 서버가 __proto__ 또는 constructor 등의 이름으로 Set-Cookie 헤더를 전송해 Object.prototype의 속성을 변경하거나 삭제
🛡️ 대응 방법
node-forge를 1.4.1 이상으로 업데이트 (npm update node-forge 또는 npm install node-forge@>=1.4.1)
🔧 검증 코드
출력된 node-forge 버전이 1.4.1 미만이면 취약하며, 1.4.1 이상이면 패치가 적용된 것입니다. 출력이 없으면 설치되어 있지 않은 것입니다.
npm ls node-forge 2>/dev/null | grep node-forge
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server