🇰🇷 한글 설명
JavaScript의 protocol-buffers-schema 3.6.0 버전(Mafintosh 개발)에 프로토타입 오염 취약점이 존재합니다. 공격자는 이를 이용해 애플리케이션 로직을 변경하거나 보안 검사를 우회하고, 서비스 거부(DoS) 또는 원격 코드 실행을 달성할 수 있습니다.
💡 쉬운 설명
이 취약점은 공격자가 프로그램의 내부 기본 설정을 몰래 바꿀 수 있게 만듭니다. 그 결과 보안 검사가 무력화되거나 서버가 멈추고, 심하면 공격자가 원격으로 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
JavaScript is vulnerable to prototype pollution in Mafintosh's protocol-buffers-schema Version 3.6.0, where an attacker may alter the application logic, bypass security checks, cause a DoS or achieve remote code execution.
📍 영향받는 시스템
protocol-buffers-schema 3.6.0을 사용하는 Node.js 기반 애플리케이션 및 해당 패키지에 의존하는 프로젝트
⚔️ 공격 벡터
조작된 Protocol Buffers 스키마 또는 입력 데이터를 통해 객체 프로토타입(__proto__ 등)을 오염시켜 로직 변경, 보안 우회, DoS 또는 RCE를 유발
🛡️ 대응 방법
protocol-buffers-schema를 패치된 최신 버전으로 업데이트하고(npm update protocol-buffers-schema), 입력값 검증 및 프로토타입 오염 방지 설정을 적용
🔧 검증 코드
출력에 [email protected]이 표시되면 취약한 버전이 설치된 것이므로 즉시 업데이트가 필요하고, 아무 결과도 없으면 해당 버전은 사용되지 않는 것입니다.
npm ls protocol-buffers-schema 2>/dev/null | grep -E 'protocol-buffers-schema@3\.6\.0'