🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증되지 않은 공격자가 Cloud Function 엔드포인트에 프로토타입 속성 이름을 호출하여 프로세스를 중단시킬 수 있는 취약점이 발견되었습니다. 공격자가 무한 재귀를 유도하여 호출 스택 크기 오류를 발생시키거나, 정의되지 않은 함수에 대해 HTTP 200 응답을 받도록 조작할 수 있습니다. 이 취약점은 8.6.13 및 9.5.1-alpha.2 버전에서 수정되었습니다.
💡 쉬운 설명
해커가 특수한 이름을 가진 요청을 보내 서버를 강제로 멈추게 하거나, 존재하지 않는 기능을 실행된 것처럼 속일 수 있는 문제입니다. 서버가 무한 루프에 빠져 작동을 멈추게 만드는 공격이 가능합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.13 and 9.5.1-alpha.2, an unauthenticated attacker can crash the Parse Server process by calling a Cloud Function endpoint with a prototype property name as the function name. The server recurses infinitely, causing a call stack size error that terminates the process. Other prototype property names bypass Cloud Function dispatch validation and return HTTP 200 responses, even though no such Cloud Functions are defined. The same applies to dot-notation traversal. All Parse Server deployments that expose the Cloud Function endpoint are affected. This vulnerability is fixed in 8.6.13 and 9.5.1-alpha.2.
📍 영향받는 시스템
Parse Server 8.6.13 미만 및 9.5.1-alpha.2 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 Cloud Function 엔드포인트에 프로토타입 속성 또는 점 표기법(dot-notation)을 포함한 함수 이름을 호출
🛡️ 대응 방법
Parse Server를 8.6.13 또는 9.5.1-alpha.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 8.6.13 또는 9.5.1-alpha.2보다 낮은지 확인