[방어] 분석 — CVE-2025-13465

• 심각도 medium · CVSS 5.3 · EPSS 0.01535 · 악용난이도 moderate

(1) 트리거 조건: _.unset 또는 _.omit 함수에 사용자가 제어 가능한 입력값이 전달될 때, __proto__, constructor, prototype과 같은 특수 경로를 포함한 crafted path가 입력되면 발생합니다.
(2) 공격 단계:

• 정찰/초기접근: 외부 입력값(API 파라미터, JSON Body 등)이 lodash의 해당 함수로 전달되는 엔드포인트 식별.
• 실행: __proto__.methodName 형태의 경로를 주입하여 전역 객체의 프로토타입 메서드를 삭제.
• 영향: 특정 내장 메서드가 삭제되어 애플리케이션 로직이 오작동하거나 예외(Exception)가 발생하여 서비스 거부 상태 유도.
  (3) 공격 표면: lodash 라이브러리를 사용하는 Node.js 기반 서버의 모든 외부 입력 접점(REST API, GraphQL 등).
  (4) CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N은 인증 없이 네트워크를 통해 낮은 복잡도로 공격 가능함을 의미하며, 이는 외부 노출 엔드포인트가 있을 경우 즉각적인 위협이 됨을 뜻합니다.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 가져, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 경로(crafted paths)를 전달하는 것만으로 트리거할 수 있어 진입 장벽이 매우 낮습니다. 공격 표면은 _.unset 및 _.omit 함수가 사용자 입력값을 직접 처리하여 객체 속성을 삭제하는 모든 엔드포인트와 파라미터에 노출되어 있습니다. 특히 Prototype Pollution의 일종으로서 전역 프로토타입의 메서드를 삭제함으로써 애플리케이션의 정상적인 기능을 마비시키는 DoS(Denial of Service) 유발 가능성이 큽니다. 다만, 기존 동작을 임의의 코드로 덮어쓰는 Overwriting이 불가능하고 속성 삭제만 가능하다는 제약으로 인해 RCE와 같은 고위험 공격으로 이어질 확률은 낮아 moderate 등급으로 판정됩니다. EPSS 수치는 0.01535로 낮고 KEV에 등재되지 않아 현재 대규모의 실제 악용 사례는 드물지만, Lodash가 광범위하게 사용되는 라이브러리라는 점을 고려할 때 잠재적 공격 표면은 매우 넓습니다. 결과적으로 기술적 난이도는 매우 낮으나, 달성 가능한 영향도가 기능 삭제에 국한되어 실질적인 악용 가능성은 제한적인 상태입니다.

(1) 기술적 위험: Prototype Pollution의 변종으로, 속성 덮어쓰기가 아닌 '삭제'가 발생합니다. 전역 프로토타입의 메서드가 삭제될 경우, 해당 메서드를 참조하는 모든 코드에서 TypeError가 발생하여 애플리케이션이 크래시되거나 의도치 않은 실행 경로로 진입할 수 있습니다.
(2) 비즈니스 영향: 특정 기능의 마비 또는 전체 서비스 가용성 저하(DoS)가 발생할 수 있으며, 이는 서비스 신뢰도 하락 및 운영 중단으로 이어집니다.

• 추정: 단독으로는 데이터 유출이나 RCE로 이어지기 어려우나, 보안 필터링 로직이나 검증 함수(Validation function)를 프로토타입 수준에서 삭제할 경우, 이후 단계의 다른 취약점을 통한 공격 경로가 열리는 '보안 통제 무력화' 체이닝이 가능할 것으로 추정됩니다.

(1) 로그 지표: HTTP Request Body 또는 Query String 내에 __proto__, constructor, prototype 문자열이 포함된 요청 로그.
(2) 탐지 규칙:

• 로직 1 (WAF/SIEM): request_body OR query_params 필드에서 정규식 /(__proto__|constructor|prototype)\.[a-zA-Z0-9_]+/ 매칭 시 경보.
• 로직 2 (Runtime Monitoring): Node.js 프로세스 내에서 전역 객체의 주요 메서드가 undefined로 변하는지 주기적으로 체크하는 헬스체크 스크립트 운용.
  (3) 오탐 튜닝: 정상적인 JSON 구조 내에 해당 단어가 포함될 수 있으므로, 단순히 단어 존재 여부가 아니라 . (dot) 연산자와 결합하여 경로 형태로 전달되는 패턴을 정밀하게 탐지해야 합니다.

• 즉시(긴급 차단): WAF에서 __proto__, constructor, prototype 문자열이 포함된 입력 요청을 즉시 Drop 처리합니다. (난이도: 하 / 영향: 낮음 / 검증: 특수 문자열 전송 시 403 응답 확인)
• 단기(완화): 애플리케이션 진입점에서 lodash 함수로 전달되는 입력값에 대해 화이트리스트 기반의 경로 검증 로직을 추가하거나, Object.freeze(Object.prototype)를 적용하여 프로토타입 수정을 방지합니다. (난이도: 중 / 영향: 중간-런타임 오버헤드 발생 가능 / 검증: PoC 페이로드 차단 확인)
• 근본(해결): lodash 버전을 4.17.23 이상으로 업데이트합니다. (난이도: 하 / 영향: 낮음 / 검증: npm list lodash 또는 yarn list lodash로 버전 확인)

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.01535(백분위 0.71872, Moderate 등급)로, 이론적 심각도(CVSS 5.3)와는 별개로 실제 야생에서의 악용 가능성이 존재함을 시사합니다. 이에 따라 KEV 미등재 및 낮은 EPSS 수치를 고려하여 우선순위를 scheduled(이번 주 내 처리)로 결정하였으며, 이는 규칙 기반의 객관적 판단 결과입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.3 · non-KEV · EPSS=0.01535 · exploit=moderate · in_scope=None