🇰🇷 한글 설명
Parse Server의 GraphQL 쿼리 복잡도 검증기에서 발생하는 취약점으로, 조작된 바이너리 팬아웃 프래그먼트 확산 쿼리를 통해 서비스 거부(DoS) 공격이 가능합니다. 인증되지 않은 단일 요청만으로도 Node.js 이벤트 루프를 수 초간 차단하여 모든 동시 접속자의 서비스를 중단시킬 수 있습니다. 이 문제는 requestComplexity 설정이 활성화된 환경에서만 영향을 미칩니다.
💡 쉬운 설명
악의적인 질문을 던져 서버의 두뇌 역할을 하는 엔진을 일시적으로 멈추게 만드는 공격입니다. 이로 인해 일반 사용자들이 웹사이트나 앱을 정상적으로 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.68 and 9.7.0-alpha.12, the GraphQL query complexity validator can be exploited to cause a denial-of-service by sending a crafted query with binary fan-out fragment spreads. A single unauthenticated request can block the Node.js event loop for seconds, denying service to all concurrent users. This only affects deployments that have enabled the requestComplexity.graphQLDepth or requestComplexity.graphQLFields configuration options. This issue has been patched in versions 8.6.68 and 9.7.0-alpha.12.
📍 영향받는 시스템
Parse Server 8.6.68 미만 버전 및 9.7.0-alpha.12 미만 버전 (requestComplexity 설정 활성화 시)
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 GraphQL 쿼리를 전송하여 서버의 이벤트 루프를 점유함
🛡️ 대응 방법
Parse Server를 8.6.68 또는 9.7.0-alpha.12 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 8.6.68 이상 또는 9.7.0-alpha.12 이상인지 확인하십시오.
npm list parse-server | grep -E 'parse-server@([8]\.[0-9]\.[0-9]+|9\.7\.0-alpha\.1[2-9])'