🇰🇷 한글 설명
Parse Server의 OAuth2 인증 어댑터에서 appidField와 appIds가 설정된 경우 앱 ID를 올바르게 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 토큰 검사 엔드포인트에 잘못된 값이 전송되어 모든 OAuth2 로그인이 실패하거나, 비정상적인 앱 컨텍스트에서의 인증이 허용될 수 있습니다.
💡 쉬운 설명
로그인 과정에서 앱의 신원을 확인하는 단계에 오류가 있어, 로그인이 아예 안 되거나 허가되지 않은 앱이 로그인을 통과할 수 있는 문제입니다. 보안 설정이 잘못된 상태로 인증을 시도할 때 발생합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.13 and 8.6.39, the OAuth2 authentication adapter does not correctly validate app IDs when appidField and appIds are configured. During app ID validation, a malformed value is sent to the token introspection endpoint instead of the user's actual access token. Depending on the introspection endpoint's behavior, this could either cause all OAuth2 logins to fail, or allow authentication from disallowed app contexts if the endpoint returns valid-looking data for the malformed request. Deployments using the OAuth2 adapter with appidField and appIds configured are affected. This vulnerability is fixed in 9.6.0-alpha.13 and 8.6.39.
📍 영향받는 시스템
Parse Server 9.6.0-alpha.13 및 8.6.39 미만 버전 (OAuth2 어댑터 사용 시)
⚔️ 공격 벡터
잘못된 앱 ID 설정을 이용한 OAuth2 인증 프로세스 조작
🛡️ 대응 방법
Parse Server를 9.6.0-alpha.13 또는 8.6.39 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 해당하면 업데이트가 필요합니다.
npm list parse-server | grep -E 'parse-server@([0-8]\.[0-6]\.[0-9]+|9\.6\.0-alpha\.1[3-9])'