🇰🇷 한글 설명
Bun 1.3.5 이전 버전에서 trusted dependencies 목록이 파일, 링크, git, github 타입의 패키지에서 이름이 일치하는 경우 스푸핑될 수 있습니다. 공격자가 신뢰할 수 있는 패키지와 동일한 이름으로 악성 패키지를 생성하여 보안 검사를 우회할 수 있습니다.
💡 쉬운 설명
Bun 패키지 매니저가 신뢰하는 패키지 목록을 확인할 때 이름만 같으면 가짜 패키지를 진짜로 착각할 수 있습니다. 공격자가 이를 악용하여 악성 코드를 실행하게 할 수 있습니다.
🇺🇸 원문 (English)
In Bun before 1.3.5, the default trusted dependencies list (aka trust allow list) can be spoofed by a non-npm package in the case of a matching name (for file, link, git, or github).
📍 영향받는 시스템
Bun 1.3.5 미만의 모든 버전
⚔️ 공격 벡터
공격자가 신뢰할 수 있는 패키지와 동일한 이름의 파일, 링크, git, github 패키지를 생성하여 trusted dependencies 목록을 우회
🛡️ 대응 방법
Bun을 1.3.5 이상 버전으로 업그레이드
🔧 검증 코드
명령어가 'vulnerable'을 출력하면 취약한 버전이고, 아무것도 출력되지 않으면 안전한 버전입니다.
bun --version | awk -F. '{if($1==1&&$2<3||($2==3&&$3<5))print "vulnerable"}'