🇰🇷 한글 설명
AWS aws-cdk-lib의 NodejsFunction Docker 번들링 파이프라인 내 OsCommand 헬퍼에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 프로젝트의 package.json 파일 내 의존성 버전 문자열을 제어할 수 있다면, 쉘 메타문자를 삽입하여 CDK 도구 체인이 실행 중인 호스트에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로젝트 설정 파일의 버전 정보를 조작하여 해커가 내 컴퓨터에서 몰래 명령어를 실행하게 만들 수 있는 보안 약점입니다. 특히 Docker를 사용하여 코드를 묶는 과정에서 이 문제가 발생합니다.
🇺🇸 원문 (English)
OS command injection in the NodejsFunction Docker bundling pipeline (OsCommand helper) in AWS aws-cdk-lib on all platforms might allow a actor who controls dependency version strings in a project's package.json file to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters in the OsCommand helper. This issue requires the actor to control the content of a package.json dependency version string that is processed during Docker-based bundling with nodeModules specified.
To remediate this issue, users should upgrade to v2.260.0.
📍 영향받는 시스템
AWS aws-cdk-lib (v2.260.0 미만 버전)
⚔️ 공격 벡터
package.json 파일의 의존성 버전 문자열에 쉘 메타문자를 삽입하여 공격
🛡️ 대응 방법
aws-cdk-lib 라이브러리를 v2.260.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 v2.260.0 미만이면 취약한 상태이며, v2.260.0 이상이면 안전합니다.
npm list aws-cdk-lib | grep -E 'aws-cdk-lib@'