🇰🇷 한글 설명
Node.js의 특정 버전에서 HTTP 헤더 이름의 캐리지 리턴(CR) 기호 처리 오류로 인해 HTTP Desync 공격이 가능합니다. 공격자는 이를 통해 악성 페이로드를 전달하여 사용자 세션을 탈취하거나 쿠키를 오염시키고 클릭재킹 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹 서버가 요청을 처리할 때 사용하는 규칙에 허점이 있어, 공격자가 가짜 요청을 섞어 보낼 수 있는 문제입니다. 이를 통해 사용자의 로그인 정보를 훔치거나 웹사이트를 조작하는 등의 피해를 입힐 수 있습니다.
🇺🇸 원문 (English)
Node.js < 12.18.4 and < 14.11 can be exploited to perform HTTP desync attacks and deliver malicious payloads to unsuspecting users. The payloads can be crafted by an attacker to hijack user sessions, poison cookies, perform clickjacking, and a multitude of other attacks depending on the architecture of the underlying system. The attack was possible due to a bug in processing of carrier-return symbols in the HTTP header names.
📍 영향받는 시스템
Node.js 12.18.4 미만 및 14.11 미만 버전
⚔️ 공격 벡터
HTTP 헤더 내의 캐리지 리턴 기호를 악용한 HTTP Desync(비동기화) 공격
🛡️ 대응 방법
Node.js를 12.18.4 또는 14.11 이상의 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.18.4 미만이거나 14.11 미만인지 확인하십시오.