🇰🇷 한글 설명
Parse Server의 딥 카피 메커니즘에 존재하는 프로토타입 오염 취약점으로 인해, 공격자가 기본 요청 키워드 차단 및 클래스 수준의 필드 추가 권한을 우회할 수 있습니다. 이를 통해 잠겨 있는 클래스 스키마에 필드를 주입하여 마스터 키로도 해결할 수 없는 영구적인 스키마 타입 충돌을 발생시킬 수 있습니다.
💡 쉬운 설명
해커가 시스템의 내부 설계도를 몰래 수정하여 데이터 구조를 망가뜨릴 수 있는 보안 약점입니다. 이 공격을 받으면 데이터 저장 방식이 꼬여버려 관리자 권한으로도 복구가 불가능한 심각한 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.20 and 8.6.44, an attacker can bypass the default request keyword denylist protection and the class-level permission for adding fields by sending a crafted request that exploits prototype pollution in the deep copy mechanism. This allows injecting fields into class schemas that have field addition locked down, and can cause permanent schema type conflicts that cannot be resolved even with the master key. In 9.6.0-alpha.20 and 8.6.44, the vulnerable third-party deep copy library has been replaced with a built-in deep clone mechanism that handles prototype properties safely, allowing the existing denylist check to correctly detect and reject the prohibited keyword. No known workarounds are available.
📍 영향받는 시스템
Parse Server 9.6.0-alpha.20 및 8.6.44 미만 버전
⚔️ 공격 벡터
조작된 요청을 통해 딥 카피 라이브러리의 프로토타입 오염 취약점을 악용하여 스키마 필드 주입
🛡️ 대응 방법
Parse Server를 9.6.0-alpha.20 또는 8.6.44 이상의 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 9.6.0-alpha.20 또는 8.6.44보다 낮은지 확인하여 취약 여부를 판단합니다.
npm list parse-server | grep -E 'parse-server@([0-9]+\.[0-9]+\.[0-9]+)'