🇰🇷 한글 설명
Parse Server의 특정 버전에서 비밀번호 확인 엔드포인트가 MFA TOTP 비밀값, 복구 코드, OAuth 액세스 토큰과 같은 인증 데이터를 검증 없이 반환하는 취약점이 발견되었습니다. 공격자가 사용자의 비밀번호를 알고 있다면 MFA 비밀값을 추출하여 다요소 인증을 우회할 수 있습니다.
💡 쉬운 설명
비밀번호를 입력했을 때 보안을 위해 필요한 추가 인증 정보(OTP 비밀번호 등)가 화면에 그대로 노출되는 문제입니다. 해커가 비밀번호만 알아내면 2차 인증까지 뚫고 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.63 and 9.7.0-alpha.7, the verify password endpoint returns unsanitized authentication data, including MFA TOTP secrets, recovery codes, and OAuth access tokens. An attacker who knows a user's password can extract the MFA secret to generate valid MFA codes, defeating multi-factor authentication protection. This issue has been patched in versions 8.6.63 and 9.7.0-alpha.7.
📍 영향받는 시스템
Parse Server versions prior to 8.6.63 and 9.7.0-alpha.7
⚔️ 공격 벡터
사용자 비밀번호를 알고 있는 공격자가 verify password 엔드포인트를 호출하여 민감한 인증 데이터를 탈취
🛡️ 대응 방법
Parse Server를 8.6.63 또는 9.7.0-alpha.7 이상의 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 8.6.63 또는 9.7.0-alpha.7보다 낮은지 확인