🇰🇷 한글 설명
Engine.IO는 Socket.IO의 양방향 통신 계층을 구현하는 라이브러리입니다. 특수하게 제작된 HTTP 요청을 통해 Engine.IO 서버에서 처리되지 않은 예외를 발생시켜 Node.js 프로세스를 강제로 종료할 수 있습니다. 이 취약점은 socket.io를 포함하여 engine.io를 사용하는 모든 패키지에 영향을 미칩니다.
💡 쉬운 설명
해커가 특수한 요청을 보내면 서버 프로그램이 갑자기 꺼져버리는 문제입니다. 이로 인해 서비스가 중단되어 사용자들이 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
Engine.IO is the implementation of transport-based cross-browser/cross-device bi-directional communication layer for Socket.IO. A specially crafted HTTP request can trigger an uncaught exception on the Engine.IO server, thus killing the Node.js process. This impacts all the users of the engine.io package, including those who uses depending packages like socket.io. There is no known workaround except upgrading to a safe version. There are patches for this issue released in versions 3.6.1 and 6.2.1.
📍 영향받는 시스템
engine.io 패키지 (3.6.1 미만 및 6.2.1 미만 버전)
⚔️ 공격 벡터
특수하게 조작된 HTTP 요청을 서버로 전송
🛡️ 대응 방법
engine.io 버전을 3.6.1 또는 6.2.1 이상의 안전한 버전으로 업그레이드
🔧 검증 코드
출력된 engine.io의 버전이 3.6.1 또는 6.2.1보다 낮은지 확인