🇰🇷 한글 설명
NestJS 프레임워크의 @nestjs/platform-fastify 어댑터에서 인증 우회 취약점이 발견되었습니다. 11.1.24 미만 버전에서 MiddlewareConsumer.forRoutes() API를 통해 등록된 미들웨어는 요청 URL 끝에 슬래시(/)를 추가하는 것만으로도 우회가 가능합니다. 이 취약점은 11.1.24 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 확인 같은 보안 검사를 거쳐야 하는 주소 뒤에 슬래시(/) 하나만 붙이면 보안 검사를 건너뛰고 접속할 수 있는 문제입니다. 마치 문 앞에 경비원이 있는데, 문 옆의 작은 틈으로 슬래시를 끼워 넣어 몰래 들어가는 것과 같습니다.
🇺🇸 원문 (English)
Nest is a framework for building scalable Node.js server-side applications. Prior to 11.1.24, an authentication bypass vulnerability exists in @nestjs/platform-fastify. When middleware is registered through NestJS's MiddlewareConsumer.forRoutes() API on the Fastify adapter, an unauthenticated client can bypass the Nest middleware registered for that route by simply appending a trailing slash (/) to the request URL. This bypass works on the default Fastify adapter configuration. This vulnerability is fixed in 11.1.24.
📍 영향받는 시스템
@nestjs/platform-fastify 11.1.24 미만 버전
⚔️ 공격 벡터
요청 URL 끝에 슬래시(/)를 추가하여 미들웨어 적용을 우회함
🛡️ 대응 방법
@nestjs/platform-fastify 패키지를 11.1.24 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 11.1.24보다 낮은지 확인
npm list @nestjs/platform-fastify
💻 영향받는 소프트웨어
IBM WebSphere Application Server