🇰🇷 한글 설명
Shescape는 JavaScript용 간단한 셸 이스케이프 라이브러리입니다. 2.1.14 및 3.0.1 이전 버전에서는 Unix 환경에서 shell이 dash로 설정되었거나 Dash가 기본 셸인 경우, src/internal/unix/dash.js의 getEscapeFunction이 ':' 또는 '=' 뒤의 '~' 문자를 이스케이프하지 못합니다. 이로 인해 이스케이프된 값을 명령 앞의 할당문에 삽입하는 애플리케이션에서 홈 디렉터리 경로 노출이나 명령 실행 위치 변경이 발생할 수 있습니다.
💡 쉬운 설명
Shescape라는 도구가 특정 문자를 제대로 막지 못하는 문제입니다. 공격자가 입력값을 조작해 시스템의 홈 폴더 경로를 알아내거나 명령이 실행되는 위치를 바꿀 수 있습니다.
🇺🇸 원문 (English)
Shescape is a simple shell escape library for JavaScript. Prior to 2.1.14 and 3.0.1, getEscapeFunction in src/internal/unix/dash.js fails to escape ~ after : or = when applications use the escape or escapeAll APIs on Unix with shell set to dash, or with shell set to true when Dash is the default, and interpolate the result into an assignment prefixed to a command. An attacker who controls the input can supply a value such as :~ to disclose the home-directory path and may change the location on which the command operates. This issue is fixed in versions 2.1.14 and 3.0.1.
📍 영향받는 시스템
Shescape 2.1.14 미만 및 3.0.1 미만 버전을 사용하는 Unix 계열 시스템(shell이 dash이거나 dash가 기본 셸인 환경)
⚔️ 공격 벡터
사용자 입력값에 ':~' 같은 문자열을 넣어 셸 할당문에서 홈 디렉터리 경로를 노출시키거나 작업 경로를 변경
🛡️ 대응 방법
shescape를 2.1.14 또는 3.0.1 이상으로 업데이트
🔧 검증 코드
출력된 shescape 버전이 2.1.14 미만이거나 3.0.1 미만(3.x 계열)이면 취약하므로 업데이트가 필요합니다.
npm ls shescape 2>/dev/null