🇰🇷 한글 설명
Parse Server의 특정 버전에서 잘못된 형식의 $regex 쿼리 매개변수를 사용할 경우, 데이터베이스 내부 정보가 포함된 오류 객체가 검증 없이 API 응답으로 노출됩니다. 이 취약점을 통해 오류 메시지, 코드, 클러스터 타임스탬프 및 토폴로지 상세 정보와 같은 데이터베이스 내부 정보가 유출될 수 있습니다.
💡 쉬운 설명
잘못된 검색 명령어를 보내면 서버가 에러를 일으키는데, 이때 서버 내부의 중요한 설계 정보가 함께 화면에 나타나는 문제입니다. 공격자는 이 정보를 이용해 데이터베이스를 더 정밀하게 공격할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.7 and 9.5.0-alpha.6, malformed $regex query parameter (e.g. [abc) causes the database to return a structured error object that is passed unsanitized through the API response. This leaks database internals such as error messages, error codes, code names, cluster timestamps, and topology details. The vulnerability is exploitable by any client that can send query requests, depending on the deployment's permission configuration. This issue has been patched in versions 8.6.7 and 9.5.0-alpha.6.
📍 영향받는 시스템
Parse Server versions prior to 8.6.7 and 9.5.0-alpha.6
⚔️ 공격 벡터
권한이 있는 클라이언트가 조작된 $regex 쿼리 매개변수를 포함한 API 요청을 전송
🛡️ 대응 방법
Parse Server를 8.6.7 또는 9.5.0-alpha.6 이상의 버전으로 업데이트
🔧 검증 코드
명령어 결과에 패치된 버전(8.6.7 이상 또는 9.5.0-alpha.6 이상)이 표시되지 않으면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@(8\.[0-9]\.[0-9]|9\.[5]\.0-alpha\.6)'