🇰🇷 한글 설명
Parse Server의 특정 버전에서 GraphQL 공개 인트로스펙션 기능이 비활성화되어 있더라도, 인라인 프래그먼트 내에 중첩된 __type 쿼리를 통해 인트로스펙션 제어를 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 시스템의 데이터 타입을 탐색하는 정찰 공격이 가능합니다. 해당 문제는 9.5.0-alpha.10 버전에서 패치되었습니다.
💡 쉬운 설명
보안 설정으로 데이터 구조를 숨겨두었음에도 불구하고, 특수한 질문 방식을 사용하면 데이터의 설계도를 몰래 훔쳐볼 수 있는 결함입니다. 공격자는 이를 통해 서버에 어떤 데이터가 있는지 파악하여 다음 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. From version 9.3.1-alpha.3 to before version 9.5.0-alpha.10, when graphQLPublicIntrospection is disabled, __type queries nested inside inline fragments (e.g. ... on Query { __type(name:"User") { name } }) bypass the introspection control, allowing unauthenticated users to perform type reconnaissance. __schema introspection is not affected. This issue has been patched in version 9.5.0-alpha.10.
📍 영향받는 시스템
Parse Server 9.3.1-alpha.3 ~ 9.5.0-alpha.10 미만 버전
⚔️ 공격 벡터
인라인 프래그먼트 내에 중첩된 __type 쿼리를 사용하여 인트로스펙션 차단 설정을 우회하는 방식
🛡️ 대응 방법
Parse Server를 9.5.0-alpha.10 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 9.3.x 또는 9.4.x 버전이 나타나면 취약한 버전이 설치된 상태입니다.
npm list parse-server | grep -E 'parse-server@9\.[3-4]\.'