🇰🇷 한글 설명
Node.js용 Tar인 node-tar에 버전 7.5.7 이전의 보안 취약점이 존재하여, 공격자가 경로 트래버설 보호를 우회하고 추출 디렉토리 외부의 임의 파일에 하드링크를 생성할 수 있는 TAR 아카이브를 제작할 수 있습니다.
💡 쉬운 설명
node-tar의 보안 취약점으로 인해 공격자가 파일에 접근할 수 있습니다. 이는 하드링크 생성 로직과 보안 검사 로직의 경로 해석 방식이 다르기 때문에 발생합니다. 버전 7.5.7에서 이 문제가 해결되었습니다.
🇺🇸 원문 (English)
node-tar,a Tar for Node.js, contains a vulnerability in versions prior to 7.5.7 where the security check for hardlink entries uses different path resolution semantics than the actual hardlink creation logic. This mismatch allows an attacker to craft a malicious TAR archive that bypasses path traversal protections and creates hardlinks to arbitrary files outside the extraction directory. Version 7.5.7 contains a fix for the issue.
📍 영향받는 시스템
node-tar 버전 7.5.7 이전
⚔️ 공격 벡터
공격자는 TAR 아카이브를 제작하여 경로 트래버설 보호를 우회하고 임의의 파일에 하드링크를 생성할 수 있습니다.
🛡️ 대응 방법
node-tar을 버전 7.5.7 이상으로 업데이트하세요.
🔧 검증 코드
로컬 시스템에서 Python이 설치되어 있는지 확인하고, node-tar 패키지의 버전을 확인하여 취약점 여부를 판단합니다. Python이 설치되어 있지 않으면 설치해야 합니다.
python -c "import pkg_resources; print(pkg_resources.get_distribution('node-tar').version < '7.5.7')" && echo {"result": "취약", "reason": "node-tar 버전이 7.5.7 미만"} || echo {"result": "양호", "reason": "node-tar 버전이 7.5.7 이상"}