🇰🇷 한글 설명
Vaadin 14.2.0부터 25.0.2 버전에서 Node.js 자동 다운로드 및 추출 중 경로 조작(Path Traversal) 취약점이 발견되었습니다. 공격자가 DNS 하이재킹, MITM 공격, 손상된 미러 등을 통해 악의적인 ZIP 파일을 제공하면 의도된 디렉토리 외부에 파일을 쓸 수 있습니다. 이는 시스템 전체 손상으로 이어질 수 있는 심각한 공급망 공격 벡터입니다.
💡 쉬운 설명
Vaadin 프레임워크가 Node.js를 자동으로 다운로드할 때 조작된 파일이 들어올 수 있어 컴퓨터의 다른 폴더에 악성 파일을 설치할 수 있습니다. 네트워크를 가로채거나 다운로드 서버를 장악하는 공격자가 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
Specially crafted ZIP archives can escape the intended extraction directory during Node.js download and extraction in Vaadin 14.2.0 through 14.14.0, 15.0.0 through 23.6.6, 24.0.0 through 24.9.8, and 25.0.0 through 25.0.2.
Vaadin’s build process can automatically download and extract Node.js if it is not installed locally. If an attacker can intercept or control this download via DNS hijacking, a MITM attack, a compromised mirror, or a supply chain attack, they can serve a malicious archive containing path traversal sequences that write files outside the intended extraction directory.
Users of affected versions should use a globally preinstalled Node.js version compatible with their Vaadin version, or upgrade as follows: 14.2.0-14.14.0 to 14.14.1, 15.0.0-23.6.6 to 23.6.7, 24.0.0-24.9.8 to 24.9.9, and 25.0.0-25.0.2 to 25.0.3 or newer.
Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 14, 23, 24, 25 version.
📍 영향받는 시스템
Vaadin 14.2.0-14.14.0, 15.0.0-23.6.6, 24.0.0-24.9.8, 25.0.0-25.0.2
⚔️ 공격 벡터
DNS 하이재킹, MITM(중간자) 공격, 손상된 미러, 또는 공급망 공격을 통해 악의적인 Node.js ZIP 아카이브 서빙
🛡️ 대응 방법
Vaadin을 14.14.1, 23.6.7, 24.9.9, 25.0.3 이상으로 업그레이드하거나 전역 Node.js 설치 사용
🔧 검증 코드
출력된 버전이 14.14.1 미만, 15.0.0-23.6.6 범위, 24.0.0-24.9.8 범위, 25.0.0-25.0.2 범위라면 취약함. 권장 버전 이상이면 안전함.
grep -r 'com.vaadin' . --include='pom.xml' --include='build.gradle' 2>/dev/null | grep -oP '(?<=<version>)[^<]+|(?<=version )[^ ]+' | sort -u