CVE-2022-33171: TypeORM SQL 주입

참고: 이 문서는 CVE-2022-33171에 대한 진행 중인 분석입니다. 여기에 제공된 세부 사항은 추가 정보가 제공됨에 따라 업데이트될 수 있습니다.현재 작동하지 않음

취약점 세부 정보

CVE ID: CVE-2022-33171
제품: TypeORM
영향 받는 버전: < 0.3.0
취약점 유형: SQL Injection
공개 날짜: June 28, 2022

설명

TypeORM 0.3.0 이전 버전의 findOne(id) 및 findOneOrFail(id) 함수는 문자열 또는 FindOneOptions 객체를 입력받을 수 있습니다. 이 함수에 대한 입력이 사용자가 제어하는 파싱된 JSON 객체인 경우, id 문자열 대신 조작된 FindOneOptions를 제공하면 SQL 인젝션이 발생합니다.

근본 원인

취약점은 다음 이유로 존재합니다:

1. findOne() 함수는 유연한 입력 유형(문자열 또는 FindOneOptions 객체)을 허용합니다.
2. 사용자 입력이 JSON으로 파싱되어 함수에 직접 전달되면, 공격자는 악의적인 FindOneOptions 객체를 제공할 수 있습니다.
3. 결과 SQL 쿼리는 적절한 삭제 없이 공격자가 제어하는 객체 속성을 포함합니다.

유지보수자의 응답

TypeORM 유지보수자들은 근본 원인이 라이브러리 자체가 아닌 애플리케이션 측의 불충분한 입력 검증이라고 밝혔습니다. 그러나 이 함수는 명시적으로 사용자 입력을 받도록 설계되었으므로, 라이브러리가 이를 안전하게 처리해야 한다는 주장이 타당합니다.

영향

• 심각도: 높음
• SQL 인젝션: 공격자는 임의의 SQL 쿼리를 실행할 수 있습니다.
• 데이터 유출: 민감한 데이터에 대한 무단 액세스
• 데이터 조작: 데이터의 잠재적 수정 또는 삭제
• 서비스 거부: 고비용 쿼리를 통한 데이터베이스 리소스 고갈

수정

TypeORM 0.3.0 이상으로 업그레이드하면 이 취약점에 대한 수정 사항이 포함됩니다.

타임라인

• 2022년 6월 28일: Full Disclosure 메일링 리스트에 취약점 공개
• 0.3.0 이전: 취약점 존재
• 0.3.0 이상: TypeORM 유지보수자에 의해 취약점 수정

참고 자료

• CVE-2022-33171
• Seclists