🇰🇷 한글 설명
Parse Server 9.8.0부터 9.9.1-alpha.5 미만 버전에서 MFA 활성화 시 _User 클래스의 읽기 권한이 차단되어도 /login 및 /verifyPassword 엔드포인트를 통해 비공개 인증 데이터가 노출되는 취약점입니다. 서버가 접근 제어 쿼리 파이프라인에서 요청을 거부할 경우, 보호된 필드 및 MFA TOTP 비밀 키와 같은 민감한 원본 데이터베이스 행을 반환하기 때문입니다.
💡 쉬운 설명
사용자의 비밀번호만 알면 2단계 인증의 핵심 정보인 MFA 비밀 키와 복구 코드를 탈취할 수 있는 치명적인 결함입니다. 시스템이 권한이 없다고 판단할 때, 오히려 숨겨야 할 민감한 정보를 그대로 드러내는 버그가 존재합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. From version 9.8.0 to before version 9.9.1-alpha.5, apps that enable MFA and deny get on the _User class via Class-Level Permissions could expose sensitive user data through the /login and /verifyPassword endpoints. These endpoints re-fetch the user through the access-controlled query pipeline (CLP, protectedFields, auth-adapter sanitizers) before responding. When that re-fetch was denied by the _User get permission, the server fell back to the raw database row, exposing raw authData (including MFA TOTP secrets and recovery codes) and fields hidden by protectedFields (when protectedFieldsOwnerExempt is false). /verifyPassword is the most severe: with only a username and password (no session or MFA token), an attacker who knows a victim's password could retrieve their MFA secret and recovery codes, defeating the second factor. This issue has been patched in version 9.9.1-alpha.5.
📍 영향받는 시스템
Parse Server 9.8.0 이상 9.9.1-alpha.5 미만
⚔️ 공격 벡터
알려진 비밀번호를 사용하여 /verifyPassword 엔드포인트를 호출하고, 서버의 권한 거부 응답을 통해 백엔드 원본 데이터를 추출
🛡️ 대응 방법
Parse Server를 패치가 적용된 버전 9.9.1-alpha.5 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 9.8.0 이상이고 9.9.1-alpha.5 미만인 경우 취약한 버전으로 판단하여 업그레이드가 필요합니다.
npm list parse-server 2>/dev/null | grep parse-server