🇰🇷 한글 설명
Node.js 권한 모델의 네트워크 강제 적용 과정에서 결함이 발견되어, Unix 도메인 소켓(UDS) 서버 운영 시 필요한 권한 확인이 누락되었습니다. 이로 인해 --allow-net 옵션이 없는 상태에서도 로컬 IPC 엔드포인트를 생성하고 노출할 수 있어, 의도된 네트워크 제한 범위를 벗어나 동일 호스트 내 다른 프로세스와 통신이 가능해집니다.
💡 쉬운 설명
Node.js에서 네트워크 사용을 막아두었음에도 불구하고, 특수한 통로(Unix 도메인 소켓)를 통해 몰래 다른 프로그램과 대화할 수 있는 보안 구멍이 발견되었습니다. 이는 제한된 권한을 우회하여 시스템 내부의 다른 프로세스에 접근할 수 있는 위험을 초래합니다.
🇺🇸 원문 (English)
A flaw in Node.js Permission Model network enforcement leaves Unix Domain Socket (UDS) server operations without the required permission checks, while all comparable network paths correctly enforce them.
As a result, code running under `--permission` without `--allow-net` can create and expose local IPC endpoints, allowing communication with other processes on the same host outside of the intended network restriction boundary.
This vulnerability affects Node.js **25.x** processes using the Permission Model where `--allow-net` is intentionally omitted to restrict network access. Note that `--allow-net` is currently an experimental feature.
📍 영향받는 시스템
Node.js 25.x (Permission Model 사용 시)
⚔️ 공격 벡터
권한 제한이 적용된 환경에서 Unix Domain Socket을 생성하여 로컬 IPC 통신을 통한 권한 우회 공격
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 실험적인 권한 모델 사용 시 주의가 필요함
🔧 검증 코드
출력 결과가 v25.x 버전으로 나타나면 해당 취약점에 영향을 받을 수 있는 버전입니다.
node -v | grep -E '^v25\.'