🇰🇷 한글 설명
Node.js의 qs 모듈 1.0.0 이전 버전에서 배열 데이터에 대해 compact 함수를 호출하지 않아 발생하는 취약점입니다. 공격자가 큰 인덱스 값을 사용하여 희소 배열을 생성하면 메모리 소비를 유발하여 서비스 거부 공격을 할 수 있습니다.
💡 쉬운 설명
Node.js의 쿼리 문자열 처리 모듈(qs)이 큰 숫자 인덱스를 포함한 요청을 받으면 메모리를 과도하게 사용하여 서버가 느려지거나 멈추는 문제입니다. 웹 애플리케이션의 URL 요청을 통해 공격할 수 있습니다.
🇺🇸 원문 (English)
The qs module before 1.0.0 in Node.js does not call the compact function for array data, which allows remote attackers to cause a denial of service (memory consumption) by using a large index value to create a sparse array.
📍 영향받는 시스템
Node.js qs module < 1.0.0
⚔️ 공격 벡터
HTTP 요청의 쿼리 문자열에 큰 배열 인덱스값 전송 (예: ?foo[999999]=bar)
🛡️ 대응 방법
qs 모듈을 1.0.0 이상으로 업데이트
🔧 검증 코드
qs 모듈의 버전이 1.0.0 이상이면 안전하고, 1.0.0 미만이면 취약점이 있습니다.
npm list qs 2>/dev/null | grep qs | awk '{print $2}'