🇰🇷 한글 설명
Parse Server의 특정 버전에서 마스터 키 권한을 가진 공격자가 SQL 메타문자를 주입하여 PostgreSQL 데이터베이스에 임의의 SQL 문을 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 애플리케이션 수준의 관리자 권한을 데이터베이스 수준의 권한으로 상승시킬 수 있게 합니다. PostgreSQL을 사용하는 Parse Server 환경에서만 발생하며, MongoDB 환경은 영향을 받지 않습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 데이터베이스 명령어를 조작하여 데이터베이스 전체를 제어할 수 있는 보안 결함입니다. 이를 통해 원래 허용된 범위를 넘어 데이터베이스의 모든 정보를 탈취하거나 수정할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.59 and 9.6.0-alpha.53, an attacker with master key access can execute arbitrary SQL statements on the PostgreSQL database by injecting SQL metacharacters into field name parameters of the aggregate $group pipeline stage or the distinct operation. This allows privilege escalation from Parse Server application-level administrator to PostgreSQL database-level access. Only Parse Server deployments using PostgreSQL are affected. MongoDB deployments are not affected. This issue has been patched in versions 8.6.59 and 9.6.0-alpha.53.
📍 영향받는 시스템
Parse Server 8.6.59 미만 버전 및 9.6.0-alpha.53 미만 버전 (PostgreSQL 사용 시)
⚔️ 공격 벡터
aggregate $group 파이프라인 단계 또는 distinct 작업의 필드 이름 파라미터에 SQL 메타문자 주입
🛡️ 대응 방법
Parse Server를 8.6.59 또는 9.6.0-alpha.53 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 현재 설치된 Parse Server 버전이 출력되면 취약한 버전이 설치되어 있는 것입니다.
npm list parse-server | grep -E 'parse-server@([0-8]\.[0-6]\.[0-9]{2,}|9\.6\.0-alpha\.5[3-9])'