🇰🇷 한글 설명
Parse Server의 LiveQuery 기능에서 정교하게 조작된 $regex 패턴을 사용하여 치명적인 백트래킹을 유발할 수 있는 취약점입니다. 이로 인해 Node.js 이벤트 루프가 차단되어 서버 전체가 응답 불능 상태에 빠질 수 있습니다. LiveQuery가 활성화된 모든 Parse Server 배포 환경이 영향을 받습니다.
💡 쉬운 설명
공격자가 특수한 규칙을 서버에 보내면 서버가 이를 계산하느라 과부하가 걸려 멈춰버리는 현상입니다. 이로 인해 모든 사용자가 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.0-alpha.14 and 8.6.11, a malicious client can subscribe to a LiveQuery with a crafted $regex pattern that causes catastrophic backtracking, blocking the Node.js event loop. This makes the entire Parse Server unresponsive, affecting all clients. Any Parse Server deployment with LiveQuery enabled is affected. The attacker only needs the application ID and JavaScript key, both of which are public in client-side apps. This only affects LiveQuery subscription matching, which evaluates regex in JavaScript on the Node.js event loop. Normal REST and GraphQL queries are not affected because their regex is evaluated by the database engine. This vulnerability is fixed in 9.5.0-alpha.14 and 8.6.11.
📍 영향받는 시스템
Parse Server 9.5.0-alpha.14 및 8.6.11 미만 버전 (LiveQuery 활성화 시)
⚔️ 공격 벡터
공개된 Application ID와 JavaScript Key를 사용하여 조작된 $regex 패턴이 포함된 LiveQuery 구독 요청을 전송
🛡️ 대응 방법
Parse Server를 9.5.0-alpha.14 또는 8.6.11 이상의 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 9.5.0-alpha.14 또는 8.6.11보다 낮은지 확인