🇰🇷 한글 설명
protobufjs 7.5.6 및 8.0.2 미만 버전에서 스키마 제어 필드 및 oneof 이름에 포함된 특정 제어 문자가 이스케이프 처리되지 않는 취약점이 발견되었습니다. 공격자가 조작된 스키마나 JSON 기술서를 사용할 경우, 생성된 JavaScript 함수가 컴파일 중에 실패할 수 있습니다.
💡 쉬운 설명
데이터 형식을 정의하는 파일에 특수 문자를 몰래 넣어두면, 프로그램이 이를 읽어 코드를 만드는 과정에서 오류가 발생해 멈출 수 있습니다. 이는 정상적인 데이터 처리를 방해하는 공격에 이용될 수 있습니다.
🇺🇸 원문 (English)
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs generated JavaScript property accessors from schema-controlled field and oneof names. Certain control characters in field names were not escaped before being embedded into generated function bodies. A crafted schema or JSON descriptor could therefore cause generated encode, decode, verify, or conversion functions to fail during compilation. This vulnerability is fixed in 7.5.6 and 8.0.2.
📍 영향받는 시스템
protobufjs versions prior to 7.5.6 and 8.0.2
⚔️ 공격 벡터
조작된 스키마 또는 JSON 기술서를 제공하여 컴파일 단계에서 오류 유도
🛡️ 대응 방법
protobufjs를 7.5.6 또는 8.0.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 protobufjs의 버전을 확인하여 7.5.6 또는 8.0.2 미만인지 체크
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM Security Verify Access