🇰🇷 한글 설명
node-jose 2.2.0 미만 버전에서 기본값이 아닌 'fallback' 암호화 백엔드를 사용할 경우, ECC 연산 중 내부 계산 오류로 인해 무한 루프가 발생하여 서비스 거부(DoS) 상태가 될 수 있습니다. 이 문제는 특정 ECC 연산 시 무작위로 발생하거나 악의적인 입력값에 의해 유도될 수 있습니다.
💡 쉬운 설명
암호화 계산 과정에서 프로그램이 무한 루프에 빠져 서버가 멈춰버리는 문제입니다. 해커가 특수한 데이터를 보내면 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
node-jose is a JavaScript implementation of the JSON Object Signing and Encryption (JOSE) for web browsers and node.js-based servers. Prior to version 2.2.0, when using the non-default "fallback" crypto back-end, ECC operations in `node-jose` can trigger a Denial-of-Service (DoS) condition, due to a possible infinite loop in an internal calculation. For some ECC operations, this condition is triggered randomly; for others, it can be triggered by malicious input. The issue has been patched in version 2.2.0. Since this issue is only present in the "fallback" crypto implementation, it can be avoided by ensuring that either WebCrypto or the Node `crypto` module is available in the JS environment where `node-jose` is being run.
📍 영향받는 시스템
node-jose version < 2.2.0 (fallback crypto back-end 사용 시)
⚔️ 공격 벡터
악의적으로 조작된 ECC 관련 입력값을 전달하여 내부 계산 루프 유도
🛡️ 대응 방법
node-jose를 2.2.0 이상 버전으로 업데이트하거나, WebCrypto 또는 Node.js crypto 모듈을 사용하도록 설정
🔧 검증 코드
출력된 node-jose의 버전이 2.2.0 미만인지 확인합니다.