🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici의 특정 버전에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. Headers.set() 및 Headers.append() 메서드에 신뢰할 수 없는 값을 전달할 경우, headerValueNormalize() 함수의 비효율적인 정규 표현식으로 인해 CPU 자원이 과다 소모될 수 있습니다.
💡 쉬운 설명
공격자가 특수하게 조작된 데이터를 보내면 프로그램이 계산을 처리하느라 멈춰버리는 현상입니다. 이로 인해 웹 서비스가 응답하지 않거나 서버가 느려질 수 있습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client for Node.js. Prior to version 5.19.1, the `Headers.set()` and `Headers.append()` methods are vulnerable to Regular Expression Denial of Service (ReDoS) attacks when untrusted values are passed into the functions. This is due to the inefficient regular expression used to normalize the values in the `headerValueNormalize()` utility function. This vulnerability was patched in v5.19.1. No known workarounds are available.
📍 영향받는 시스템
Undici 버전 5.19.1 미만
⚔️ 공격 벡터
신뢰할 수 없는 외부 입력값을 Undici의 Headers.set() 또는 Headers.append() 메서드에 전달하여 정규 표현식 연산을 유도함
🛡️ 대응 방법
Undici를 최신 버전인 v5.19.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 undici의 버전이 5.19.1 미만인지 확인하십시오.