🇰🇷 한글 설명
Node.js 0.6.17 이전 및 0.7.8 이전 버전의 http_parser.cc 파일에서 문자열 길이 검증이 불충분하여 발생하는 취약점입니다. 원격 공격자가 영의 길이 문자열을 이용해 HTTP 헤더 정보를 유출하거나 HTTP 헤더를 위조할 수 있습니다.
💡 쉬운 설명
Node.js 웹 서버에서 HTTP 요청 헤더의 길이를 제대로 확인하지 않아서, 공격자가 빈 문자열을 보내 민감한 정보를 빼내거나 헤더를 조작할 수 있습니다. 이는 서버와 클라이언트 간의 신뢰를 깨뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Update method in src/node_http_parser.cc in Node.js before 0.6.17 and 0.7 before 0.7.8 does not properly check the length of a string, which allows remote attackers to obtain sensitive information (request header contents) and possibly spoof HTTP headers via a zero length string.
📍 영향받는 시스템
Node.js 0.6.17 이전 및 0.7.8 이전 버전
⚔️ 공격 벡터
영 길이의 HTTP 헤더 문자열을 포함한 악의적 HTTP 요청
🛡️ 대응 방법
Node.js를 0.6.17 이상 또는 0.7.8 이상으로 업그레이드
🔧 검증 코드
영향받는 버전(v0.6.17 미만 또는 v0.7.8 미만)이 출력되면 취약함. 아무것도 출력되지 않으면 안전한 버전 또는 Node.js가 미설치된 상태
node --version 2>/dev/null | grep -oE '(v0\.[0-6]\.[0-9]+|v0\.7\.[0-7])'