🇰🇷 한글 설명
Node.js의 http 모듈에 포함된 llhttp 파서가 여러 줄로 구성된 Transfer-Encoding 헤더를 올바르게 처리하지 못하는 취약점입니다. 이로 인해 HTTP 요청 스머글링(HRS) 공격이 발생할 수 있습니다.
💡 쉬운 설명
웹 서버가 전달받은 메시지를 해석할 때 줄바꿈이 포함된 특정 명령어를 제대로 읽지 못하는 문제입니다. 공격자가 이를 이용해 정상적인 요청 사이에 몰래 악의적인 요청을 끼워 넣을 수 있습니다.
🇺🇸 원문 (English)
The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
📍 영향받는 시스템
Node.js llhttp 파서 버전 <v14.20.1, <v16.17.1, <v18.9.1
⚔️ 공격 벡터
조작된 multi-line Transfer-Encoding 헤더를 포함한 HTTP 요청 전송
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전(v14.20.1, v16.17.1, v18.9.1 이상)으로 업데이트
🔧 검증 코드
출력된 Node.js 버전이 취약점이 해결된 버전(v14.20.1, v16.17.1, v18.9.1 이상)인지 확인
node -e 'console.log(process.version)'