🇰🇷 한글 설명
Node.js용 traceroute(node-traceroute) 1.0.0 이하 버전에서 host 파라미터를 통해 원격 명령 주입이 가능합니다. 이는 안전하지 않은 Child.exec() 메서드를 사용하기 때문에 발생하며, 공격자가 줄바꿈 문자를 사용하여 OS 명령어를 삽입할 수 있습니다.
💡 쉬운 설명
프로그램이 외부에서 입력받은 주소를 처리할 때, 주소 뒤에 몰래 다른 명령어를 붙여서 실행할 수 있는 보안 약점이 있습니다. 이를 통해 해커가 서버에 직접 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
The traceroute (aka node-traceroute) package through 1.0.0 for Node.js allows remote command injection via the host parameter. This occurs because the Child.exec() method, which is considered to be not entirely safe, is used. In particular, an OS command can be placed after a newline character.
📍 영향받는 시스템
node-traceroute package version 1.0.0 and below
⚔️ 공격 벡터
host 파라미터에 줄바꿈 문자(
)와 함께 악의적인 OS 명령어를 삽입하여 실행
🛡️ 대응 방법
해당 패키지를 최신 버전으로 업데이트하거나, 입력값에 대한 검증 로직을 추가하여 특수 문자를 차단해야 합니다.
🔧 검증 코드
출력된 결과에서 node-traceroute의 버전이 1.0.0 이하인지 확인합니다.