🇰🇷 한글 설명
Node.js용 jsrsasign 패키지 8.0.18 이전 버전에서 RSA PKCS1 v1.5 복호화 구현 시 암호문에 '\0' 바이트를 추가해도 이를 감지하지 못하는 문제가 발견되었습니다. 공격자가 암호문 앞에 이 바이트를 추가하여 메모리 오염 문제를 유발할 수 있습니다.
💡 쉬운 설명
암호화된 데이터를 풀 때 데이터 앞에 특정 값을 몰래 끼워 넣어도 프로그램이 오류를 잡아내지 못하는 결함입니다. 이를 통해 해커가 컴퓨터의 메모리 영역을 조작하여 시스템을 공격할 위험이 있습니다.
🇺🇸 원문 (English)
An issue was discovered in the jsrsasign package before 8.0.18 for Node.js. Its RSA PKCS1 v1.5 decryption implementation does not detect ciphertext modification by prepending '\0' bytes to ciphertexts (it decrypts modified ciphertexts without error). An attacker might prepend these bytes with the goal of triggering memory corruption issues.
📍 영향받는 시스템
jsrsasign package version < 8.0.18 (Node.js environment)
⚔️ 공격 벡터
암호문 앞에 '\0' 바이트를 추가하여 복호화 과정을 조작하고 메모리 오염을 유도하는 방식
🛡️ 대응 방법
jsrsasign 패키지를 8.0.18 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 8.0.18 미만인지 확인하십시오.
npm list jsrsasign | grep jsrsasign