🇰🇷 한글 설명
Google V8 엔진이 폼 파라미터의 해시 값을 계산할 때 해시 충돌 제한이 없어, 공격자가 조작된 파라미터로 의도적으로 해시 충돌을 유발하여 CPU 자원을 소비하는 DoS 공격이 가능합니다. Node.js 및 V8 기반 애플리케이션이 영향을 받습니다.
💡 쉬운 설명
특수하게 만든 많은 입력값을 서버에 보내면 해시 처리가 매우 느려져 서버가 응답할 수 없게 됩니다. 마치 같은 키로 계산되도록 조작된 많은 데이터로 인해 서버가 과부하가 되는 것입니다.
🇺🇸 원문 (English)
Google V8 computes hash values for form parameters without restricting the ability to trigger hash collisions predictably, which allows remote attackers to cause a denial of service (CPU consumption) by sending many crafted parameters, as demonstrated by attacks against Node.js.
📍 영향받는 시스템
Node.js 0.4.x ~ 0.6.x 버전, Google V8 엔진 기반 애플리케이션
⚔️ 공격 벡터
HTTP POST 요청에 의도적으로 해시 충돌을 유발하는 수천 개의 파라미터를 포함시켜 전송
🛡️ 대응 방법
Node.js 및 V8 엔진을 0.6.5, 0.4.12 이상의 보안 패치 버전으로 업데이트
🔧 검증 코드
V8 버전이 3.6.0 이상인 경우 패치됨. 구버전이면 긴급 업그레이드 필요
node --version && node -e "console.log(process.versions.v8)"