🇰🇷 한글 설명
Fedify 라이브러리에서 JSON-LD의 구조적 특징을 악용하여 데이터의 서명을 유지한 채 내용을 변경할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 제3자가 서명한 활동 데이터를 조작하여 Fedify가 잘못된 방식으로 해석하도록 유도할 수 있습니다. 해당 문제는 특정 버전 이하의 Fedify 라이브러리에서 발생합니다.
💡 쉬운 설명
데이터의 '도장(서명)'은 그대로 둔 채, 데이터의 내용만 몰래 바꿀 수 있는 보안 구멍이 발견되었습니다. 이를 통해 공격자는 가짜 정보를 진짜처럼 속여서 서버에 전달할 수 있습니다.
🇺🇸 원문 (English)
Fedify is a TypeScript library for building federated server apps powered by ActivityPub. Prior to versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3, an attacker can make use of JSON-LD features to restructure a JSON-LD document that would change how Fedify interprets it without changing its Linked Data Signature, allowing them to alter a third-party signed activity they have received. Versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3 fix the issue.
📍 영향받는 시스템
Fedify versions prior to 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3
⚔️ 공격 벡터
JSON-LD 문서의 구조를 재구성하여 Linked Data Signature를 유지하면서 데이터를 변조하는 방식
🛡️ 대응 방법
Fedify 라이브러리를 최신 패치 버전(1.9.11, 1.10.10, 2.0.18, 2.1.14, 2.2.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 fedify의 버전을 확인하여 취약한 버전 범위에 포함되는지 체크합니다.