🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증된 공격자가 유효한 토큰과 MFA 복구 코드 또는 SMS OTP를 사용하여 여러 개의 인증 세션을 생성할 수 있는 취약점이 발견되었습니다. 이 취약점은 MFA 복구 코드의 일회성 보장을 무력화하며, 사용자가 세션을 취소하더라도 공격자가 세션을 유지할 수 있게 합니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 비밀번호가 한 번만 쓰이지 않고 여러 번 사용될 수 있는 보안 결함입니다. 이로 인해 해커가 사용자의 계정 접속 권한을 계속해서 유지할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.64 and 9.7.0-alpha.8, an attacker who possesses a valid authentication provider token and a single MFA recovery code or SMS one-time password can create multiple authenticated sessions by sending concurrent login requests via the authData login endpoint. This defeats the single-use guarantee of MFA recovery codes and SMS one-time passwords, allowing session persistence even after the legitimate user revokes detected sessions. This issue has been patched in versions 8.6.64 and 9.7.0-alpha.8.
📍 영향받는 시스템
Parse Server 8.6.64 미만 버전 및 9.7.0-alpha.8 미만 버전
⚔️ 공격 벡터
authData 로그인 엔드포인트로 동시에 여러 개의 로그인 요청을 전송하여 세션 생성
🛡️ 대응 방법
Parse Server를 8.6.64 또는 9.7.0-alpha.8 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 8.6.64 또는 9.7.0-alpha.8 이상인지 확인