🇰🇷 한글 설명
Parse Server의 특정 버전에서 빈 authData 객체를 전송하여 사용자 가입 시 아이디와 비밀번호 검증을 우회할 수 있는 취약점이 발견되었습니다. 이로 인해 익명 사용자 기능이 비활성화된 상태에서도 인증된 세션이 생성될 수 있습니다. 해당 문제는 9.6.0-alpha.29 및 8.6.49 버전에서 수정되었습니다.
💡 쉬운 설명
회원가입을 할 때 아이디와 비밀번호를 입력하지 않고 빈 데이터만 보내도 가입이 되어버리는 보안 구멍이 발견되었습니다. 이로 인해 누구나 권한이 있는 사용자로 위장하여 시스템에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.29 and 8.6.49, a user can sign up without providing credentials by sending an empty `authData` object, bypassing the username and password requirement. This allows the creation of authenticated sessions without proper credentials, even when anonymous users are disabled. The fix in 9.6.0-alpha.29 and 8.6.49 ensures that empty or non-actionable `authData` is treated the same as absent `authData` for the purpose of credential validation on new user creation. Username and password are now required when no valid auth provider data is present. As a workaround, use a Cloud Code `beforeSave` trigger on the `_User` class to reject signups where `authData` is empty and no username/password is provided.
📍 영향받는 시스템
Parse Server versions prior to 9.6.0-alpha.29 and 8.6.49
⚔️ 공격 벡터
회원가입 요청 시 authData 객체를 비어있는 상태로 전송하여 인증 절차 우회
🛡️ 대응 방법
Parse Server를 9.6.0-alpha.29 또는 8.6.49 이상의 버전으로 업데이트하거나, _User 클래스에 beforeSave 트리거를 설정하여 빈 authData 가입을 차단하십시오.
🔧 검증 코드
출력된 버전이 9.6.0-alpha.29 또는 8.6.49 미만인 경우 취약한 버전이 설치된 것입니다.
npm list parse-server | grep -E 'parse-server@([0-8]\.[0-6]\.|9\.6\.0-alpha\.29|8\.6\.49)'