🇰🇷 한글 설명
Node.js용 Request 패키지 2.88.1 이하 버전에서 SSRF 방어 체계를 우회할 수 있는 취약점이 발견되었습니다. 공격자가 제어하는 서버를 통해 프로토콜 간 리다이렉트(HTTP에서 HTTPS 또는 그 반대)를 수행함으로써 보안 필터를 무력화할 수 있습니다. 단, 이 취약점은 유지보수가 종료된 제품에만 영향을 미칩니다.
💡 쉬운 설명
웹사이트가 내부 네트워크에 접근하지 못하도록 막아둔 보안 장치를 속여서 몰래 내부 정보에 접근할 수 있는 문제입니다. 공격자가 중간에서 통신 방식을 살짝 바꾸는 방식으로 보안 검사를 통과합니다.
🇺🇸 원문 (English)
The Request package through 2.88.1 for Node.js allows a bypass of SSRF mitigations via an attacker-controller server that does a cross-protocol redirect (HTTP to HTTPS, or HTTPS to HTTP). NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Node.js Request package version 2.88.1 and below
⚔️ 공격 벡터
공격자가 제어하는 서버를 이용한 교차 프로토콜 리다이렉트(Cross-protocol redirect)
🛡️ 대응 방법
해당 패키지 사용을 중단하고 유지보수가 지원되는 최신 라이브러리(예: Axios 등)로 교체하십시오.
🔧 검증 코드
출력된 결과에서 request 패키지의 버전이 2.88.1 이하인지 확인하십시오.