🇰🇷 한글 설명
Parse Server의 특정 버전에서 타사 인증 제공업체를 연결한 사용자의 계정을 인증 없이 탈취할 수 있는 취약점이 발견되었습니다. 공격자가 사용자의 제공업체 ID만 알면 비밀번호 없이도 해당 계정의 세션 토큰을 획득하여 전체 권한을 얻을 수 있습니다. 이 문제는 allowExpiredAuthDataToken 옵션이 true로 설정된 환경에서 발생합니다.
💡 쉬운 설명
로그인할 때 사용하는 외부 서비스(예: 구글, 페이스북 등)의 아이디 정보만 알면, 비밀번호를 몰라도 남의 계정으로 바로 접속할 수 있는 보안 구멍입니다. 특정 설정이 켜져 있는 서버에서만 발생하며, 해커가 사용자 권한을 통째로 뺏을 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.52 and 9.6.0-alpha.41, an authentication bypass vulnerability allows an attacker to log in as any user who has linked a third-party authentication provider, without knowing the user's credentials. The attacker only needs to know the user's provider ID to gain full access to their account, including a valid session token. This affects Parse Server deployments where the server option allowExpiredAuthDataToken is set to true. The default value is false. This issue has been patched in versions 8.6.52 and 9.6.0-alpha.41.
📍 영향받는 시스템
Parse Server 8.6.52 미만 및 9.6.0-alpha.41 미만 버전 (allowExpiredAuthDataToken=true 설정 시)
⚔️ 공격 벡터
타사 인증 제공업체의 사용자 ID를 이용한 인증 우회 공격
🛡️ 대응 방법
Parse Server를 8.6.52 또는 9.6.0-alpha.41 이상의 버전으로 업데이트하거나, allowExpiredAuthDataToken 설정을 false로 변경하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 8.6.52 또는 9.6.0-alpha.41보다 낮은지 확인하십시오.