🇰🇷 한글 설명
Node.js의 dns 라이브러리에서 DNS 서버가 반환하는 호스트 이름에 대한 입력 검증이 누락되어 발생합니다. 이 취약점을 통해 원격 코드 실행(RCE), XSS, 애플리케이션 충돌 및 도메인 하이재킹이 발생할 수 있습니다.
💡 쉬운 설명
인터넷 주소를 알려주는 DNS 서버가 가짜 정보를 보낼 때, Node.js가 이를 제대로 확인하지 못해 발생하는 문제입니다. 해커가 이 점을 이용해 컴퓨터에 악성 명령을 내리거나 웹사이트를 조작할 수 있습니다.
🇺🇸 원문 (English)
Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to Remote Code Execution, XSS, Application crashes due to missing input validation of host names returned by Domain Name Servers in Node.js dns library which can lead to output of wrong hostnames (leading to Domain Hijacking) and injection vulnerabilities in applications using the library.
📍 영향받는 시스템
Node.js 16.6.0 미만, 14.17.4 미만, 12.22.4 미만 버전
⚔️ 공격 벡터
조작된 호스트 이름을 반환하는 DNS 서버를 통한 입력값 주입 공격
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전(16.6.0, 14.17.4, 12.22.4 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 버전 범위(16.6.0, 14.17.4, 12.22.4 미만)에 해당하는지 확인