🇰🇷 한글 설명
LibSass 3.4.5의 eval.cpp 파일에서 Sass::Eval::operator() 함수의 불법적 메모리 주소 접근으로 인해 원격 공격자가 서비스 거부 공격을 수행할 수 있습니다. CVE-2017-11555와 유사하지만 해당 패치 이후에도 계속 악용이 가능합니다.
💡 쉬운 설명
CSS를 처리하는 LibSass 프로그램에 메모리 버그가 있어서 악의적인 파일을 보내면 서버가 멈출 수 있습니다. 이전 수정으로도 완전히 해결되지 않았습니다.
🇺🇸 원문 (English)
There is an illegal address access in Sass::Eval::operator() in eval.cpp of LibSass 3.4.5, leading to a remote denial of service attack. NOTE: this is similar to CVE-2017-11555 but remains exploitable after the vendor's CVE-2017-11555 fix (available from GitHub after 2017-07-24).
📍 영향받는 시스템
LibSass 3.4.5 및 그 이전 버전, node-sass와 sass-lang을 포함한 의존 라이브러리
⚔️ 공격 벡터
특수하게 조작된 SASS/SCSS 파일을 서버에 처리하도록 하여 메모리 충돌 유발
🛡️ 대응 방법
LibSass를 3.4.6 이상으로 업그레이드하고 npm/시스템 패키지 업데이트 적용
🔧 검증 코드
출력 버전이 3.4.5 이하면 취약상태, 3.4.6 이상 또는 해당 패키지 미설치 시 안전함
npm list sass node-sass 2>/dev/null | grep -E '@|\s' | head -5