🇰🇷 한글 설명
Parse Server의 특정 버전에서 MFA 복구 코드가 일회용으로 제한되지 않는 취약점이 발견되었습니다. 공격자가 사용자의 비밀번호와 복구 코드 하나를 확보한 상태에서 동시에 여러 로그인 요청을 보내면, 해당 코드를 무제한으로 재사용할 수 있습니다. 이 문제는 8.6.60 및 9.6.0-alpha.54 버전에서 패치되었습니다.
💡 쉬운 설명
한 번 쓰고 버려야 하는 비밀번호 복구용 코드를 아주 짧은 시간 동안 여러 번 동시에 입력하면 계속 사용할 수 있는 문제입니다. 공격자가 이 코드를 가로채면 보안 장치를 무력화하고 계정에 계속 접근할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.60 and 9.6.0-alpha.54, an attacker who obtains a user's password and a single MFA recovery code can reuse that recovery code an unlimited number of times by sending concurrent login requests. This defeats the single-use design of recovery codes. The attack requires the user's password, a valid recovery code, and the ability to send concurrent requests within milliseconds. This issue has been patched in versions 8.6.60 and 9.6.0-alpha.54.
📍 영향받는 시스템
Parse Server 8.6.60 미만 버전 및 9.6.0-alpha.54 미만 버전
⚔️ 공격 벡터
사용자의 비밀번호와 복구 코드를 탈취한 후, 밀리초 단위로 동시 다발적인 로그인 요청을 전송하는 레이스 컨디션 공격
🛡️ 대응 방법
Parse Server를 8.6.60 또는 9.6.0-alpha.54 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 업데이트가 필요한 상태입니다.
npm list parse-server | grep -E 'parse-server@(8\.[0-5]\.|9\.[0-5]\-alpha\.[0-53])'