0xNews - NPM 패키지에서 심각한 버그 발견

HTTPToolkit 발표

NPM 패키지 Pac-Resolver 은 HTTP 요청이 전송될 때마다 Node.js 애플리케이션 내부에서 악성 코드를 실행하는데 악용될 수 있는 심각도가 높은 원격 코드 실행 RCE Remote Code Execution 취약점에 대해 수정 완료

CVE-2021-23406 지정

CVSS 8.1

Pac-Resolver 5.0.0 이전 모든 버전 취약점 대상

NPM 의 Pac-resolver 패키지 정보 사이트 링크

프록시 자동 구성 PAC Proxy Auto-Configuration 파일은 웹 브라우저 요청을 대상으로 직접 라우팅해야 하는지 아니면 지정된 호스트 이름에 대해 웹 프록시 서버로 전달해야 하는지 결정하는 JavaScript 기능

PAC 파일은 프록시 규칙이 엔터프라이즈 환경에서 배포되는 방식

이 패키지는 Pac-Proxy-Agent 에서 PAC 파일 지원에 사용

Proxy-Agent 에서 차례로 사용되며 Node.js 에서 HTTP 프록시 자동 감지와 구성을 위한 표준 이동 패키지로 모든 곳에서 사용 중

Proxy-Agent 는 AWS의 CDK ToolKit, Mailgun SDK, Firebase CLI 등에서도 사용

이번 취약점은 Pac-Proxy-Agent 가 PAC 파일을 올바르게 샌드박스 처리하지 않은 방식과 관련

그 결과 신뢰할 수 없는 PAC 파일이 남용

샌드박스에서 완전히 벗어나 기본 운영체제에서 임의 코드 실행할 수 있는 시나리오가 성립

그러나 이를 위해서는 공격자가 로컬 네트워크에 상주하거나 PAC 파일의 내용을 조작할 수 있는 능력있거나 프록시 구성을 변경하기 위해 두번째 취약점과 연결이 되어야 함

VM모듈에 대해 잘 알려진 공격로 Node 가 샌드박스의 컨텍스트를 완전히 격리하지 않기 때문에 작동

실제로 격리를 확실하게 제공하려고 하지 않음

이에 VM내장 모듈 대신 샌드박스 사용으로 대응 가능

Node.JS 에서의 이번 취약점 대응 정보

레드햇 Redhat 은 독립적인 저장소 관리와 자문 등의 확인을 통해 고급 클러스터 관리를 위해 해당 패키지는 쿠퍼네티스 Kubernetes 제품과 함께 제공되는 것을 확인

하지만 영향을 받는 구성 요소가 사용자에 의해 보고된 후 대응 후 처리

영향을 받는 구성요소의 취약점을 악용하기 위해서는 취약점 트리거 레벨이 매우 낮음

RedHat 의 이번 취약점 관련 정보 사이트 링크

openLab