🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증되지 않은 공격자가 임의의 설정되지 않은 프로바이더 이름을 포함한 인증 요청을 보낼 수 있습니다. 이 요청은 데이터베이스의 전체 컬렉션 스캔을 유발하여 데이터베이스 리소스를 고갈시키고 서비스 거부(DoS) 상태를 초래할 수 있습니다.
💡 쉬운 설명
로그인 요청을 보낼 때 존재하지 않는 로그인 방식을 섞어서 보내면, 서버가 이를 확인하느라 데이터베이스 전체를 뒤지게 만듭니다. 공격자가 이런 요청을 대량으로 보내면 서버가 과부하로 인해 멈출 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.58 and 9.6.0-alpha.52, an unauthenticated attacker can cause denial of service by sending authentication requests with arbitrary, unconfigured provider names. The server executes a database query for each unconfigured provider before rejecting the request, and since no database index exists for unconfigured providers, each request triggers a full collection scan on the user database. This can be parallelized to saturate database resources. This issue has been patched in versions 8.6.58 and 9.6.0-alpha.52.
📍 영향받는 시스템
Parse Server 8.6.58 미만 버전 및 9.6.0-alpha.52 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 설정되지 않은 프로바이더 이름을 포함한 인증 요청을 대량으로 전송
🛡️ 대응 방법
Parse Server를 8.6.58 또는 9.6.0-alpha.52 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 8.6.58 또는 9.6.0-alpha.52 이상인지 확인