🇰🇷 한글 설명
Node.js용 normalize-url 패키지의 특정 버전에서 data: URL을 처리할 때 정규 표현식 성능이 기하급수적으로 저하되는 ReDoS 취약점이 발견되었습니다. 이로 인해 공격자가 악의적인 URL을 입력할 경우 서버의 CPU 자원을 고갈시켜 서비스 거부 상태를 유발할 수 있습니다.
💡 쉬운 설명
특정한 형태의 인터넷 주소를 입력하면 컴퓨터가 이를 처리하느라 과도하게 힘을 써서 멈춰버리는 문제입니다. 공격자가 이 주소를 보내면 웹사이트가 응답하지 않게 만들 수 있습니다.
🇺🇸 원문 (English)
The normalize-url package before 4.5.1, 5.x before 5.3.1, and 6.x before 6.0.1 for Node.js has a ReDoS (regular expression denial of service) issue because it has exponential performance for data: URLs.
📍 영향받는 시스템
normalize-url < 4.5.1, 5.x < 5.3.1, 6.x < 6.0.1
⚔️ 공격 벡터
악의적으로 조작된 data: URL 형식을 입력값으로 전달하여 서버의 CPU를 점유함
🛡️ 대응 방법
normalize-url 패키지를 최신 보안 버전(4.5.1, 5.3.1, 6.0.1 이상)으로 업데이트함
🔧 검증 코드
출력된 결과에서 normalize-url의 버전이 취약한 범위에 해당하는지 확인합니다.