🇰🇷 한글 설명
Tauri의 콘텐츠 보안 정책(CSP) 강화 기능이 script-src 지시문에 data: 또는 blob: 스킴이 포함된 경우 무력화되는 취약점입니다. CSP Level 3 명세에 따라 nonce가 존재하더라도 해당 스킴들이 활성화되어 있어, 공격자가 nonce를 몰라도 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
보안을 위해 난수를 사용하여 스크립트 실행을 제한하려 했으나, 특정 데이터 형식을 허용하는 설정 때문에 이 제한이 무용지물이 된 상태입니다. 결과적으로 해커가 보안 장치를 우회하여 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Tauri's Content Security Policy hardening, which injects a random nonce to restrict script execution, provides zero protection when an application includes data: or blob: in its script-src directive. Per the CSP Level 3 specification, these scheme sources remain active even when a nonce is present, allowing arbitrary script execution without knowing the nonce.
📍 영향받는 시스템
data: 또는 blob: 스킴이 script-src에 포함된 Tauri 기반 애플리케이션
⚔️ 공격 벡터
CSP 설정 내에 포함된 data: 또는 blob: 스킴을 악용하여 nonce 없이 임의의 스크립트 주입
🛡️ 대응 방법
CSP의 script-src 지시문에서 data: 및 blob: 스킴을 제거하거나 엄격하게 제한
🔧 검증 코드
명령어 결과로 CSP 설정 내에 data: 또는 blob: 문구가 출력되면 취약한 설정이 존재함을 의미함
grep -r "script-src.*data:" . || grep -r "script-src.*blob:" .