WARP 운영·배포 의존성 High advisory 제거

[OziinG]

Owner

@OziinG

발견 근거

2026-08-20 최신 main에서 npm ci 후 npm audit --omit=dev --json을 실행했다.

• Critical: 0
• High package entries: 5
• Moderate package entries: 3

영향 후보

운영 의존성

• pptxgenjs → image-size
• ICNS, JXL, HEIF parser의 무한 loop로 인한 denial of service advisory
• WARP가 사용자 또는 외부 입력의 해당 이미지 형식을 실제로 처리하는지 reachability 확인 필요

빌드·배포 toolchain

• prisma → @prisma/config → deepmerge-ts
• recursive object merge의 stack exhaustion advisory
• @prisma/dev 경로의 Hono static middleware와 Valibot Moderate advisory도 함께 존재

위험한 자동 수정

현재 audit가 제안하는 pptxgenjs@1.1.5 전환은 설치된 4.x보다 오래된 major 계열로 내려가는 결과이므로 npm audit fix --force를 사용하지 않는다. advisory 숨김이나 무검증 override도 금지한다.

수정 방향

1. PPTX 생성 경로와 허용 이미지 형식을 조사해 실제 입력 도달성을 판정한다.
2. 호환되는 image-size 또는 pptxgenjs 안전 버전이 있으면 별도 worktree에서 갱신한다.
3. Prisma CLI·Client version을 함께 맞추고 generate, migration, build 회귀를 검증한다.
4. 해결 불가능한 advisory는 입력 형식 차단 등 대체 통제와 재검토 날짜를 기록한다.

완료 조건

• npm audit --omit=dev --audit-level=high 통과 또는 Owner가 승인한 대체 통제
• PPTX 생성과 이미지 포함 회귀 테스트 통과
• Prisma generate, schema migration, typecheck, production build 통과
• 운영 배포와 rollback 검증
• secret, 고객 문서, 실제 payload를 Issue나 로그에 첨부하지 않음

제외

WARP–BUILDUP-EV 직접 연동 계약 고정 Issue #38과 섞지 않는다.

[OziinG]

2026-08-20 이슈 정리 과정에서 최신 main@53c49cc 기준으로 다시 확인했습니다.

• Critical: 0
• High: 5
• Moderate: 3
• High 경로: pptxgenjs -> image-size, prisma -> @prisma/config/@prisma/dev -> deepmerge-ts

현재 위험이 재현되므로 장기 HQ 백로그로 넘기거나 종료하지 않습니다. WARP 저장소에 남은 유일한 열린 Issue로 유지하며, 실제 입력 도달성 분석 또는 승인된 대체 통제가 필요합니다.

[OziinG]

구현 전 최신 upstream과 현재 main을 다시 검증했습니다.

확정 결과:

• Prisma 7.9.1도 @prisma/config -> deepmerge-ts@7.1.5를 포함하므로 compatible patched graph가 아직 없습니다.
• PptxGenJS 최신 4.0.1도 image-size@1.2.1을 포함하며 ICNS/JXL/HEIF advisory의 patched release가 아직 없습니다.
• WARP 운영 PPTX 생성은 text, shape, table만 사용하고 addImage 호출이 없습니다.
• Prisma CLI는 repository-owned static prisma.config.ts만 읽으며 request/provider payload가 config merge에 도달하지 않습니다.

구현:

• Prisma CLI, Client, libSQL adapter를 7.9.1로 정렬해 기존 Hono/Valibot Moderate 경로 제거
• Critical과 미검토 High를 차단하는 npm run security:audit를 release의 image build 전 필수 gate로 연결
• 허용 범위를 advisory 1138808, 1138809, 1145093으로 제한
• PptxGenJS import surface와 모든 운영 addImage 참조를 검사
• Prisma package topology와 prisma.config.ts digest를 고정
• 2026-10-01 이후 자동 만료하여 upstream 재검토 강제

로컬 증거:

• fresh npm ci
• security audit gate 통과
• deployment tests 29건 통과
• controlled PNG 포함 PPTX 생성 통과
• Prisma generate 7.9.1 통과
• Account Control 14건, external lookup 7건, BUILDUP import 15건, 직접 연동 6 endpoints 통과
• typecheck 및 production build 통과

운영 비밀값, 고객 문서와 실제 payload는 사용하거나 출력하지 않았습니다.

[OziinG]

최종 완료 증거

담당: OziinG

• 구현 PR: [OziinG][Security] 미패치 의존성 위험을 배포 전에 차단 #46
• Squash merge: 4af9e5dfe6ef653f66a44665bf1ec5b5072211f7
• 보안 게이트: Critical 0, 검토된 High advisory 1138808, 1138809, 1145093
• Prisma 계열: 7.9.1로 정렬하여 기존 Moderate 경로 제거
• ECR 운영 이미지 검사: Critical 0, High 0
• 운영 DB: sqlite-custom, 적용 migration 0, privacy preflight violation 0

미패치 upstream advisory를 제거된 것으로 오인하지 않도록 정확한 버전·호출면·설정 파일 해시·만료일(2026-10-01)을 배포 게이트로 고정했습니다. 새 High/Critical, 의존성 토폴로지 변화, PPTX 이미지 API 도입, Prisma 설정 변경 또는 예외 만료는 배포를 중단합니다.

운영 검증:

1. 최초 배포 성공
2. 실제 롤백 성공
3. 최신 리비전 복구 배포 성공

최종 운영 상태:

• slot: green
• revision: 4af9e5dfe6ef653f66a44665bf1ec5b5072211f7
• image digest: sha256:e6549f957c95cbe3ef336428419b9a380459789fdc147fbf52f3b3cb468febde
• /api/healthz, /api/readyz: HTTP 200 및 리비전·다이제스트 일치
• readiness 연속 50회: 실패 0
• 공개 증거와 배포 로그에 비밀값·고객 문서·요청 payload를 남기지 않음

Issue #39의 구현, 회귀검증, 운영 배포, 실제 롤백, 최신판 복구까지 완료했습니다.