protobufjs Prototype Pollution 해결을 통한 CVE-2023-36665 보안 취약점 제거

Context

protobufjs 라이브러리의 parse() 및 load() 함수 내 입력 값 검증 미흡으로 인한 Object.prototype 오염 가능성 식별. 악의적인 protobuf 메시지를 통한 RCE 및 보안 컨트롤 우회 위험이 존재하는 구조적 한계 노출.

Technical Solution

• protobufjs 버전을 7.2.5 이상으로 업데이트하여 Prototype Pollution 방지 로직 적용
• pnpm overrides 설정을 통한 Transitive Dependency 내 취약 버전 강제 교체
• package.json의 resolutions 필드 정의를 통한 의존성 트리 전체의 버전 일관성 확보
• firebase 등 하위 의존성 패키지의 최신 버전 업데이트를 통한 연쇄적 보안 강화
• CI/CD 파이프라인 내 pnpm audit 및 Snyk Scan 단계 통합으로 런타임 전 취약점 사전 탐지