🇰🇷 한글 설명
Clerk JavaScript 라이브러리의 특정 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 조작된 요청 경로를 통해 애플리케이션의 Clerk-Secret-Key를 공격자가 제어하는 서버로 유출시킬 수 있습니다.
💡 쉬운 설명
해커가 가짜 요청을 보내 서비스의 중요한 비밀번호(Secret Key)를 몰래 빼낼 수 있는 보안 구멍이 발견되었습니다. 이 비밀번호가 유출되면 해커가 사용자의 계정 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Clerk JavaScript is the official JavaScript repository for Clerk authentication. In @clerk/hono from versions 0.1.0 to before 0.1.5, @clerk/express from versions 2.0.0 to before 2.0.7, @clerk/backend from versions 3.0.0 to before 3.2.3, and @clerk/fastify from versions 3.1.0 to before 3.1.5, the clerkFrontendApiProxy function in @clerk/backend is vulnerable to Server-Side Request Forgery (SSRF). An unauthenticated attacker can craft a request path that causes the proxy to send the application's Clerk-Secret-Key to an attacker-controlled server. This issue has been patched in @clerk/hono version 0.1.5, @clerk/express version 2.0.7, @clerk/backend version 3.2.3, and @clerk/fastify version 3.1.5.
📍 영향받는 시스템
@clerk/hono (0.1.0-0.1.4), @clerk/express (2.0.0-2.0.6), @clerk/backend (3.0.0-3.2.2), @clerk/fastify (3.1.0-3.1.4)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 요청 경로를 전송하여 서버가 민감한 키를 외부로 전송하도록 유도
🛡️ 대응 방법
각 라이브러리를 최신 패치 버전(@clerk/hono 0.1.5, @clerk/express 2.0.7, @clerk/backend 3.2.3, @clerk/fastify 3.1.5 이상)으로 업데이트
🔧 검증 코드
출력된 결과에서 각 패키지의 버전이 취약한 범위에 포함되는지 확인
npm list @clerk/hono @clerk/express @clerk/backend @clerk/fastify
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server