🇰🇷 한글 설명
Parse Server의 특정 버전에서 Google 인증 토큰의 알고리즘 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 'alg: none' 설정을 사용하여 위조된 토큰을 생성하면, 인증 정보 없이도 Google 계정과 연결된 모든 사용자로 로그인할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 디지털 신분증의 검증 방식에 허점이 있어, 가짜 신분증을 만들어도 시스템이 이를 진짜로 믿어버리는 문제입니다. 이를 통해 해커가 다른 사람의 계정으로 마음대로 접속할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.3 and 9.1.1-alpha.4, an unauthenticated attacker can forge a Google authentication token with `alg: "none"` to log in as any user linked to a Google account, without knowing their credentials. All deployments with Google authentication enabled are affected. The fix in versions 8.6.3 and 9.1.1-alpha.4 hardcodes the expected `RS256` algorithm instead of trusting the JWT header, and replaces the Google adapter's custom key fetcher with `jwks-rsa` which rejects unknown key IDs. As a workaround, dsable Google authentication until upgrading is possible.
📍 영향받는 시스템
Parse Server 8.6.3 미만 버전 및 9.1.1-alpha.4 미만 버전 (Google 인증 활성화 시)
⚔️ 공격 벡터
인증되지 않은 공격자가 JWT 헤더의 알고리즘을 'none'으로 조작한 위조된 Google 인증 토큰을 전송
🛡️ 대응 방법
Parse Server를 8.6.3 또는 9.1.1-alpha.4 이상의 버전으로 즉시 업데이트하거나, 업데이트 전까지 Google 인증 기능을 비활성화하십시오.
🔧 검증 코드
출력된 버전 번호가 8.6.3 또는 9.1.1-alpha.4보다 낮은지 확인하십시오.
npm list parse-server | grep -E 'parse-server@'