🇰🇷 한글 설명
pnpm 패키지 관리자의 generic peer-suffix normalizer 기능에서 괄호로 둘러싸인 텍스트를 제거하는 결함이 발견되었습니다. 이로 인해 git, URL, tarball 등 특정 로케이터의 값이 동일하게 정규화되어, 공격자가 승인된 소스와 동일한 값으로 변조된 소스를 사용할 수 있습니다.
💡 쉬운 설명
패키지를 설치할 때 주소에 포함된 괄호 내용을 멋대로 지워버리는 문제가 있습니다. 이 때문에 원래 설치하려던 안전한 주소 대신 공격자가 만든 가짜 주소가 안전한 것으로 오인되어 설치될 수 있습니다.
🇺🇸 원문 (English)
pnpm is a package manager. Prior to 10.34.2 and 11.5.3, the generic peer-suffix normalizer also stripped parenthesized text from git, URL, tarball, file, and other opaque locators. Approval for one source string could therefore authorize a different attacker-controlled source whose locator normalized to the same value. This vulnerability is fixed in 10.34.2 and 11.5.3.
📍 영향받는 시스템
pnpm versions prior to 10.34.2 and 11.5.3
⚔️ 공격 벡터
정규화 과정을 악용하여 승인된 소스 주소와 동일한 값을 갖도록 조작된 공격자 제어 소스 사용
🛡️ 대응 방법
pnpm을 10.34.2 또는 11.5.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.34.2 또는 11.5.3 미만인지 확인하십시오.