🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici 2.0.0 버전부터 5.19.1 미만 버전에서 host HTTP 헤더에 대한 CRLF 인젝션 취약점이 존재합니다. 이 문제는 Undici v5.19.1에서 패치되었습니다. 해결책으로 Undici에 전달하기 전에 headers.host 문자열을 정화해야 합니다.
💡 쉬운 설명
웹사이트에 접속할 때 사용하는 도구에 보안 구멍이 있어, 공격자가 몰래 명령어를 끼워 넣을 수 있는 상태입니다. 이로 인해 서버가 잘못된 요청을 처리하게 만들 수 있습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client for Node.js. Starting with version 2.0.0 and prior to version 5.19.1, the undici library does not protect `host` HTTP header from CRLF injection vulnerabilities. This issue is patched in Undici v5.19.1. As a workaround, sanitize the `headers.host` string before passing to undici.
📍 영향받는 시스템
Undici library versions 2.0.0 up to (but not including) 5.19.1
⚔️ 공격 벡터
HTTP host 헤더에 CRLF(줄바꿈 문자)를 삽입하여 HTTP 요청 메시지를 조작하는 방식
🛡️ 대응 방법
Undici 라이브러리를 v5.19.1 이상 버전으로 업데이트하거나, 사용 전 host 헤더 값을 검증 및 정화함
🔧 검증 코드
출력된 undici의 버전이 5.19.1 미만인지 확인