🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증된 사용자가 세션 업데이트 엔드포인트에 null 값을 전송하여 세션 필드의 불변성 보호를 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 세션 만료 시간을 무효화하여 세션을 무기한 유지함으로써 설정된 세션 길이 정책을 우회할 수 있습니다. 이 문제는 버전 8.6.69 및 9.7.0-alpha.14에서 패치되었습니다.
💡 쉬운 설명
로그인 정보의 유효 기간을 설정해두었음에도 불구하고, 공격자가 특정 값을 조작해 로그아웃되지 않고 영구적으로 접속을 유지할 수 있는 문제입니다. 인증된 사용자가 세션 만료 설정을 강제로 지워버릴 수 있는 보안 허점입니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.69 and 9.7.0-alpha.14, an authenticated user can bypass the immutability guard on session fields (expiresAt, createdWith) by sending a null value in a PUT request to the session update endpoint. This allows nullifying the session expiry, making the session valid indefinitely and bypassing configured session length policies. This issue has been patched in versions 8.6.69 and 9.7.0-alpha.14.
📍 영향받는 시스템
Parse Server versions prior to 8.6.69 and 9.7.0-alpha.14
⚔️ 공격 벡터
인증된 사용자가 세션 업데이트 엔드포인트로 PUT 요청을 보내 세션 필드(expiresAt, createdWith)에 null 값을 전송
🛡️ 대응 방법
Parse Server를 버전 8.6.69 또는 9.7.0-alpha.14 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 8.6.69 또는 9.7.0-alpha.14보다 낮은지 확인하십시오.