🔍 CVE-2016-2537

7.5
CVSS Score
HIGH
2016-02-23
2026-06-17 00:44
✅ 완료

🇰🇷 한글 설명

is-my-json-valid 패키지의 utc-millisec 정규식 오류로 인해 악의적인 문자열이 정규식 재귀 처리를 유발하여 이벤트 루프를 차단하고 서비스 거부를 초래할 수 있습니다.

💡 쉬운 설명

JSON 검증 도구의 버그로 특정 형식의 데이터가 서버를 멈추게 할 수 있습니다. 웹 애플리케이션이 응답 불가 상태에 빠집니다.

🇺🇸 원문 (English)

The is-my-json-valid package before 2.12.4 for Node.js has an incorrect exports['utc-millisec'] regular expression, which allows remote attackers to cause a denial of service (blocked event loop) via a crafted string.

📍 영향받는 시스템

Node.js 패키지 is-my-json-valid 버전 2.12.4 이전

⚔️ 공격 벡터

원격 공격자가 조작된 JSON 문자열을 전송하여 정규식 처리 지연으로 인한 서비스 거부 유발

🛡️ 대응 방법

is-my-json-valid를 2.12.4 이상으로 업그레이드

🔧 검증 코드

명령어가 'Vulnerable'을 출력하면 취약한 버전이며, 출력이 없으면 패치된 버전입니다.

Shell / Script 
npm list is-my-json-valid 2>/dev/null | grep -oP 'is-my-json-valid@\K[0-9.]+' | awk -F. '{if($1<2 || ($1==2 && $2<12) || ($1==2 && $2==12 && $3<4)) print "Vulnerable"}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

💻 영향받는 소프트웨어

Node.js