🇰🇷 한글 설명
크로스 플랫폼 스타일 생성을 위한 빌드 시스템인 Style Dictionary에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 이 취약점은 버전 4.3.0부터 5.4.4 미만 버전에서 발생하며, NodeJS 서버 애플리케이션에 통합되어 사용될 경우 위험도가 높습니다.
💡 쉬운 설명
프로그램의 기본 설계도를 몰래 수정하여 시스템을 오작동하게 만드는 보안 약점입니다. 스타일 데이터를 처리하는 과정에서 악의적인 코드가 포함될 경우 서버가 해킹당할 수 있습니다.
🇺🇸 원문 (English)
Style Dictionary, a build system for creating cross-platform styles, has a prototype pollution vulnerability starting in version 4.3.0 and prior to version 5.4.4. Impact users have: direct usage of `convertTokenData(tokens, { output: 'object' });`; indirect usage, via using Expand API; and/or indirect usage via SD's transform lifecycle. Impact is high for this when style-dictionary is used as an integration in a NodeJS server application. Impact is moderate for when style-dictionary is used as an integration in a Web application. Impact is low for most common cases where the user of style-dictionary also maintains the tokens, and access is limited via read/write access to the repository/workflows where it is used. A patch has been published in version `5.4.4`. The only known workaround is to sanitize token data first. Whether using DTCG format or old Style Dictionary format, check the token data object recursively for any object keys that include `__proto__`.
📍 영향받는 시스템
Style Dictionary 버전 4.3.0 이상 ~ 5.4.4 미만
⚔️ 공격 벡터
검증되지 않은 토큰 데이터 내에 '__proto__' 키를 포함시켜 객체의 프로토타입을 오염시키는 방식
🛡️ 대응 방법
Style Dictionary를 버전 5.4.4 이상으로 업데이트하거나, 사용 전 토큰 데이터에서 '__proto__' 키를 재귀적으로 검사하여 제거해야 합니다.
🔧 검증 코드
출력된 결과에서 style-dictionary의 버전을 확인하여 5.4.4 미만인지 체크합니다.
npm list style-dictionary
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server