🇰🇷 한글 설명
오픈 소스 연합형 소셜 미디어 플랫폼인 Misskey의 특정 버전에서 JSON-LD 서명 검증 및 압축 과정 중 타이밍 공격 취약점이 발견되었습니다. 서명 검증과 후속 처리 간에 JSON-LD 파싱 컨텍스트가 공유되지 않아 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 결함으로, 공격자가 조작된 활동을 유효한 것으로 위장하여 데이터 무결성을 훼손할 수 있습니다.
💡 쉬운 설명
데이터가 진짜인지 확인하는 과정과 실제로 사용하는 과정 사이에 시간 차이가 생겨, 확인이 끝난 직후 데이터를 몰래 바꿔치기할 수 있는 보안 허점입니다. 이를 통해 공격자는 가짜 정보를 진짜처럼 속여 시스템에 등록할 수 있습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. Versions 12.37.0 and later, but prior to 2026.5.4, are vulnerable to timing attacks during JSON-LD signature validation and the compaction process. Because the JSON-LD parsing context is not shared between signature verification and subsequent processing, the application may trust information that should not be trusted, resulting in a time-of-check to time-of-use (TOCTOU) flaw. This allows an attacker to have fraudulent activities accepted as valid, leading to a loss of integrity. This issue has been fixed in version 2026.5.4.
📍 영향받는 시스템
Misskey 버전 12.37.0 이상 ~ 2026.5.4 미만
⚔️ 공격 벡터
JSON-LD 서명 검증과 처리 과정의 컨텍스트 불일치를 이용한 타이밍 공격 및 데이터 조작
🛡️ 대응 방법
Misskey를 최신 보안 패치가 적용된 버전 2026.5.4 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 버전 번호 2026.5.4가 출력되면 취약점이 해결된 상태입니다.
curl -s http://localhost/api/v1/version | grep -E '2026\.5\.4'