🇰🇷 한글 설명
Node.js의 HTTP 파서 가용성 문제로 인해 원격 공격자가 파이프라인된 HTTP 요청을 통해 서비스 거부를 유발할 수 있습니다. 각 HTTP 소켓에 대한 파서 가용성이 보장되지 않아 uncaughtException 발생 및 서비스 중단이 발생합니다.
💡 쉬운 설명
Node.js 서버가 여러 HTTP 요청을 한 번에 받을 때 요청을 처리하는 시스템이 제대로 준비되지 않아 서버가 멈출 수 있습니다. 공격자가 특정한 방식으로 요청을 보내면 서버가 충돌하거나 서비스를 중단하게 만들 수 있습니다.
🇺🇸 원문 (English)
Node.js 0.12.x before 0.12.9, 4.x before 4.2.3, and 5.x before 5.1.1 does not ensure the availability of a parser for each HTTP socket, which allows remote attackers to cause a denial of service (uncaughtException and service outage) via a pipelined HTTP request.
📍 영향받는 시스템
Node.js 0.12.x (< 0.12.9), 4.x (< 4.2.3), 5.x (< 5.1.1)
⚔️ 공격 벡터
Pipelined HTTP 요청을 특정 방식으로 조작하여 HTTP 파서가 없는 소켓에 데이터를 전송
🛡️ 대응 방법
Node.js를 0.12.9, 4.2.3, 5.1.1 이상으로 업그레이드
🔧 검증 코드
위 명령어가 버전을 출력하면 취약한 버전이고, 출력이 없으면 패치된 버전입니다.
node --version | grep -E '^v(0\.12\.[0-8]|4\.[0-2]\.[0-2]|5\.[0-1]\.[0])'