🇰🇷 한글 설명
Parse Server의 특정 버전에서 Cloud Function 검증기 접근 제어를 우회할 수 있는 취약점이 발견되었습니다. 공격자가 URL의 함수 이름 뒤에 'prototype.constructor'를 추가하면 프로토타입 체인 탐색 불일치를 이용해 인증 및 권한 검증을 건너뛸 수 있습니다. 이로 인해 인증되지 않은 사용자가 보호된 Cloud Function을 임의로 호출할 수 있습니다.
💡 쉬운 설명
서버의 보안 검사 과정을 속여서 허가되지 않은 사람이 중요한 기능을 마음대로 실행할 수 있는 문제입니다. 마치 출입증 검사원이 이름표의 특수 문자를 읽지 못해 아무나 문을 열어주는 것과 같습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.67 and 9.7.0-alpha.11, an attacker can bypass Cloud Function validator access controls by appending "prototype.constructor" to the function name in the URL. When a Cloud Function handler is declared using the function keyword and its validator is a plain object or arrow function, the trigger store traversal resolves the handler through its own prototype chain while the validator store fails to mirror this traversal, causing all access control enforcement to be skipped. This allows unauthenticated callers to invoke Cloud Functions that are meant to be protected by validators such as requireUser, requireMaster, or custom validation logic. This issue has been patched in versions 8.6.67 and 9.7.0-alpha.11.
📍 영향받는 시스템
Parse Server versions prior to 8.6.67 and 9.7.0-alpha.11
⚔️ 공격 벡터
URL의 Cloud Function 이름 끝에 'prototype.constructor'를 추가하여 접근 제어 로직을 우회함
🛡️ 대응 방법
Parse Server를 8.6.67 또는 9.7.0-alpha.11 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 현재 설치된 버전이 나타나면 취약한 버전이 설치되어 있는 상태입니다.
npm list parse-server | grep -E 'parse-server@([0-7]\.[0-5]\.[0-9]{2,}|9\.7\.0-alpha\.1[1-9])'