🇰🇷 한글 설명
Parse Server의 LDAP 인증 어댑터에서 LDAP 인젝션 취약점이 발견되었습니다. 사용자 입력값이 이스케이프 처리 없이 LDAP DN 및 그룹 검색 필터에 직접 삽입되어, 인증된 사용자가 그룹 멤버십 확인을 우회하고 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
로그인할 때 입력하는 정보가 시스템 명령어로 잘못 해석되어 보안 검사를 통과할 수 있는 문제입니다. 이를 통해 일반 사용자가 관리자 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.13 and 8.6.26, the LDAP authentication adapter is vulnerable to LDAP injection. User-supplied input (authData.id) is interpolated directly into LDAP Distinguished Names (DN) and group search filters without escaping special characters. This allows an attacker with valid LDAP credentials to manipulate the bind DN structure and to bypass group membership checks. This enables privilege escalation from any authenticated LDAP user to a member of any restricted group. The vulnerability affects Parse Server deployments that use the LDAP authentication adapter with group-based access control. This vulnerability is fixed in 9.5.2-alpha.13 and 8.6.26.
📍 영향받는 시스템
Parse Server (9.5.2-alpha.13 및 8.6.26 미만 버전 중 LDAP 어댑터 사용 환경)
⚔️ 공격 벡터
인증된 LDAP 사용자가 특수 문자가 포함된 authData.id 값을 입력하여 LDAP 쿼리 구조를 조작
🛡️ 대응 방법
Parse Server를 9.5.2-alpha.13 또는 8.6.26 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 9.5.2-alpha.13 또는 8.6.26보다 낮은지 확인하십시오.
npm list parse-server | grep -E 'parse-server@([0-9]*\.[0-9]*\.[0-9]*(-alpha\.[0-9]+)?)$' | awk -F'@' '{print $2}'