🇰🇷 한글 설명
node-tar 7.5.11 미만 버전에서 발생하는 취약점으로, 드라이브 상대 경로를 사용하는 심볼릭 링크를 통해 압축 해제 디렉터리 외부의 파일을 덮어쓸 수 있습니다. 공격자는 C:../../../target.txt와 같은 경로를 사용하여 작업 디렉터리 외부의 파일에 접근할 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때, 압축 파일 안에 숨겨진 특수 경로를 이용해 컴퓨터의 중요한 파일을 마음대로 수정하거나 덮어쓸 수 있는 문제입니다. 악의적으로 만들어진 압축 파일을 풀기만 해도 시스템 파일이 손상될 위험이 있습니다.
🇺🇸 원문 (English)
node-tar is a full-featured Tar for Node.js. Prior to version 7.5.11, tar (npm) can be tricked into creating a symlink that points outside the extraction directory by using a drive-relative symlink target such as C:../../../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction. This vulnerability is fixed in 7.5.11.
📍 영향받는 시스템
node-tar 버전 7.5.11 미만
⚔️ 공격 벡터
드라이브 상대 경로를 포함한 심볼릭 링크가 포함된 악성 tar 파일 압축 해제
🛡️ 대응 방법
node-tar를 최신 버전인 7.5.11 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 tar의 버전이 7.5.11보다 낮은지 확인하십시오.