🇰🇷 한글 설명
Baileys 라이브러리의 특정 버전에서 placeholderResendMessage를 통해 악성 페이로드를 전송하여 가짜 메시지 이벤트를 발생시킬 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 메시지를 위조하거나 앱 상태 동기화 시스템을 손상시키고, 가짜 대화 기록을 주입할 수 있습니다.
💡 쉬운 설명
메신저 연결 도구의 허점을 이용해 가짜 메시지를 보내거나 이전 대화 내용을 조작할 수 있는 보안 결함입니다. 공격자가 마치 실제 사용자가 보낸 것처럼 속여서 메시지를 전달하거나 대화 기록을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Baileys is a cocket-based TS/JavaScript API for WhatsApp Web. In versions prior to both 6.7.22 and 7.0.0-rc12, any Baileys session can be sent a malicious payload via the placeholderResendMessage and trigger a fake messages.upsert event with a fake message key and payload. This allows anyone to spoof messages. The same exploit also allows an attacker to corrupt the app state sync system by sending fake key shares, and also allows for history sync spoofing which also serves the same problem, injecting fake previous context or "on-demand" sync. This issue has been fixed in versions 6.7.22 and 7.0.0-rc12.
📍 영향받는 시스템
Baileys versions prior to 6.7.22 and 7.0.0-rc12
⚔️ 공격 벡터
placeholderResendMessage를 통한 악성 페이로드 전송 및 가짜 메시지/키 공유 주입
🛡️ 대응 방법
Baileys 라이브러리를 6.7.22 또는 7.0.0-rc12 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 설치된 Baileys의 버전을 확인하여 6.7.22 또는 7.0.0-rc12 미만인지 확인합니다.
npm list @whiskeysockets/baileys || npm list baileys