🇰🇷 한글 설명
Parse Server 8.6.115 미만 및 9.0.0~9.10.7-alpha.1 미만 버전에서 사용자 이메일 형식 검증에 사용되는 정규식이 입력 길이에 대해 제곱 비례로 실행 시간이 증가하며, 길이 제한 없이 적용됩니다. 인증되지 않은 공격자가 애플리케이션 ID를 알고 있으면 긴 조작된 이메일로 가입 요청을 보내거나, 로그인한 사용자가 자신의 이메일을 변경해 Node.js 이벤트 루프를 차단하고 모든 클라이언트에 서비스 거부(DoS)를 일으킬 수 있습니다.
💡 쉬운 설명
이메일 주소를 검사하는 프로그램이 아주 긴 입력에 대해 매우 느리게 동작하는 약점이 있습니다. 공격자가 이 점을 이용해 서버를 멈추게 만들어 모든 사용자가 서비스를 이용하지 못하게 할 수 있습니다.
🇺🇸 원문 (English)
Parse Server before 8.6.115 and 9.0.0 before 9.10.7-alpha.1 validates user email address format with a regular expression whose run time grows quadratically with input length and that is applied without a length limit. An unauthenticated attacker who knows the application ID can send a sign-up request, or a logged-in user can update their own email, with a long crafted email address to block the Node.js event loop and deny service to all clients.
📍 영향받는 시스템
Parse Server 8.6.115 미만, 9.0.0 이상 9.10.7-alpha.1 미만 (Node.js 기반)
⚔️ 공격 벡터
회원가입 또는 이메일 변경 요청에 매우 긴 악성 이메일 문자열을 보내 이벤트 루프를 차단
🛡️ 대응 방법
Parse Server를 8.6.115 이상 또는 9.10.7-alpha.1 이상으로 업그레이드하고, 이메일 길이 제한을 적용
🔧 검증 코드
출력된 버전이 8.6.115 이상이거나 9.10.7-alpha.1 이상이면 패치된 상태이며, 그보다 낮은 버전이면 취약합니다.
npm ls parse-server 2>/dev/null; node -e "console.log(require('parse-server/package.json').version)" 2>/dev/null