🇰🇷 한글 설명
node-tar 7.5.7 이하 버전에서 기본 옵션 사용 시, 공격자가 제어하는 아카이브를 통해 압축 해제 디렉토리 외부를 가리키는 하드링크를 생성할 수 있습니다. 이를 통해 압축을 해제하는 사용자의 권한으로 임의의 파일을 읽거나 쓸 수 있는 취약점이 존재합니다. 이 문제는 7.5.8 버전에서 수정되었습니다.
💡 쉬운 설명
압축 파일을 풀 때, 압축 파일 안에 숨겨진 '가짜 연결 통로'를 만들어 컴퓨터의 중요한 파일을 마음대로 읽거나 수정할 수 있는 문제입니다. 압축을 푸는 프로그램이 원래 정해진 폴더 밖의 파일까지 건드리게 만드는 방식입니다.
🇺🇸 원문 (English)
node-tar is a full-featured Tar for Node.js. When using default options in versions 7.5.7 and below, an attacker-controlled archive can create a hardlink inside the extraction directory that points to a file outside the extraction root, enabling arbitrary file read and write as the extracting user. Severity is high because the primitive bypasses path protections and turns archive extraction into a direct filesystem access primitive. This issue has been fixed in version 7.5.8.
📍 영향받는 시스템
node-tar versions 7.5.7 and below
⚔️ 공격 벡터
악의적으로 조작된 tar 아카이브 파일을 압축 해제하여 시스템 파일에 대한 하드링크 생성
🛡️ 대응 방법
node-tar 버전을 7.5.8 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 node-tar의 버전이 7.5.7 이하인지 확인