🇰🇷 한글 설명
Deepstream 서버의 10.1.0부터 10.1.1 버전 사이에서 권한 규칙 맵에 PATCH_MULTI 레코드 작업이 누락되는 취약점이 발견되었습니다. 인증된 사용자가 특정 설정 유형에서 이 작업을 수행할 경우, 시스템이 권한을 무조건 허용하여 임의의 보호된 레코드를 수정하거나 서비스 중단을 초래할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 원래는 수정할 수 없는 중요한 설정값들을 마음대로 바꿀 수 있는 보안 구멍이 발견되었습니다. 이로 인해 데이터가 망가지거나 서비스가 멈출 위험이 있습니다.
🇺🇸 원문 (English)
deepstream is a server that allows clients and backend services to sync data, send messages and make rpcs at scale. From 10.1.0 until 10.1.1, src/services/permission/valve/rules-map.ts omits RECORD_ACTION.PATCH_MULTI from RULES_MAP. When an authenticated user sends a PATCH_MULTI record operation while permission.type is config, getRulesForMessage returns a null rule specification and ConfigPermission.canPerformAction treats the missing specification as an unconditional allow instead of applying RULE_TYPES.WRITE. Any authenticated user can therefore modify arbitrary protected records, corrupt application state, or cause service disruption; deployments using the default permission type none already allow all operations and are not additionally affected. This issue is fixed in version 10.1.1.
📍 영향받는 시스템
Deepstream version 10.1.0 to 10.1.1
⚔️ 공격 벡터
인증된 사용자가 PATCH_MULTI 레코드 작업을 통해 권한 검사를 우회하여 보호된 데이터를 수정
🛡️ 대응 방법
Deepstream 버전을 10.1.1 이상으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 10.1.0 또는 10.1.1 버전이 나타나면 해당 취약점에 노출된 상태입니다.
dpkg -l | grep deepstream 2>/dev/null | grep -E '10.1.[0-1]'