🇰🇷 한글 설명
Parse Server의 Google, Apple, Facebook 인증 어댑터에서 JWT 검증 시 audience(대상) 확인을 누락하는 취약점이 발견되었습니다. 설정 옵션이 누락될 경우 다른 애플리케이션용으로 발급된 유효한 JWT를 사용하여 대상 서버의 모든 사용자로 위장할 수 있습니다.
💡 쉬운 설명
로그인할 때 '이 토큰이 우리 서비스용이 맞는지' 확인하는 절차가 빠져 있는 상태입니다. 이로 인해 다른 서비스에서 발급받은 인증서를 가져와도 마치 우리 서비스의 정당한 사용자인 것처럼 속여 로그인할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.10 and 9.5.0-alpha.11, the Google, Apple, and Facebook authentication adapters use JWT verification to validate identity tokens. When the adapter's audience configuration option is not set (clientId for Google/Apple, appIds for Facebook), JWT verification silently skips audience claim validation. This allows an attacker to use a validly signed JWT issued for a different application to authenticate as any user on the target Parse Server. This issue has been patched in versions 8.6.10 and 9.5.0-alpha.11.
📍 영향받는 시스템
Parse Server 8.6.10 미만 및 9.5.0-alpha.11 미만 버전
⚔️ 공격 벡터
다른 애플리케이션에서 발급받은 유효한 JWT를 사용하여 대상 Parse Server에 인증 시도
🛡️ 대응 방법
Parse Server를 8.6.10 또는 9.5.0-alpha.11 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 8.6.10 또는 9.5.0-alpha.11보다 낮은지 확인하십시오.