🇰🇷 한글 설명
Node.js의 http 모듈 내 llhttp 파서가 Transfer-Encoding 헤더를 올바르게 파싱하고 검증하지 못하는 취약점입니다. 이로 인해 HTTP 요청 스머글링(HRS) 공격이 발생할 수 있습니다.
💡 쉬운 설명
웹 서버가 들어오는 요청을 읽을 때 규칙을 제대로 지키지 못해 발생하는 문제입니다. 공격자가 몰래 다른 요청을 끼워 넣어 서버를 혼란에 빠뜨릴 수 있습니다.
🇺🇸 원문 (English)
The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly parse and validate Transfer-Encoding headers and can lead to HTTP Request Smuggling (HRS).
📍 영향받는 시스템
Node.js llhttp 파서 <v14.20.1, <v16.17.1, <v18.9.1
⚔️ 공격 벡터
조작된 Transfer-Encoding 헤더를 포함한 HTTP 요청을 전송하여 요청 스머글링 유도
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전(v14.20.1, v16.17.1, v18.9.1 이상)으로 업데이트
🔧 검증 코드
출력된 Node.js 버전이 취약점이 해결된 버전보다 낮은지 확인
node -e 'console.log(process.version)'