🇰🇷 한글 설명
Node.js의 특정 버전에서 HTTP/HTTPS keep-alive 연결 시 헤더를 매우 느리게 전송하여 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 공격자는 연결과 관련 리소스를 장기간 점유함으로써 서버의 가용성을 떨어뜨릴 수 있습니다. 이 문제는 CVE-2018-12121의 연장선상에 있는 취약점입니다.
💡 쉬운 설명
공격자가 서버에 연결을 해두고 데이터를 아주 조금씩, 아주 천천히 보내서 서버의 자원을 계속 붙잡아 두는 공격입니다. 이로 인해 서버가 새로운 요청을 처리하지 못하고 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
In Node.js including 6.x before 6.17.0, 8.x before 8.15.1, 10.x before 10.15.2, and 11.x before 11.10.1, an attacker can cause a Denial of Service (DoS) by establishing an HTTP or HTTPS connection in keep-alive mode and by sending headers very slowly. This keeps the connection and associated resources alive for a long period of time. Potential attacks are mitigated by the use of a load balancer or other proxy layer. This vulnerability is an extension of CVE-2018-12121, addressed in November and impacts all active Node.js release lines including 6.x before 6.17.0, 8.x before 8.15.1, 10.x before 10.15.2, and 11.x before 11.10.1.
📍 영향받는 시스템
Node.js 6.x (<6.17.0), 8.x (<8.15.1), 10.x (<10.15.2), 11.x (<11.10.1)
⚔️ 공격 벡터
Keep-alive 모드에서 HTTP/HTTPS 헤더를 매우 느린 속도로 전송하여 연결 리소스를 점유하는 방식
🛡️ 대응 방법
Node.js를 보안 패치가 적용된 최신 버전(6.17.0, 8.15.1, 10.15.2, 11.10.1 이상)으로 업데이트하거나 로드 밸런서/프록시를 사용하여 공격을 완화합니다.
🔧 검증 코드
출력된 Node.js 버전이 취약점이 해결된 버전(예: 10.15.2 이상)인지 확인합니다.