🇰🇷 한글 설명
crypto.X509Certificate() API를 사용하여 유효하지 않은 공개 키로 x509 인증서를 생성할 때 예기치 않은 종료가 발생합니다. 공격자가 유효하지 않은 인증서를 제공하여 애플리케이션 프로세스를 강제로 종료시킴으로써 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
잘못된 인증서 정보를 입력하면 프로그램이 갑자기 꺼져버리는 문제입니다. 공격자가 이 점을 악용해 서버를 계속 멈추게 만들어 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
When an invalid public key is used to create an x509 certificate using the crypto.X509Certificate() API a non-expect termination occurs making it susceptible to DoS attacks when the attacker could force interruptions of application processing, as the process terminates when accessing public key info of provided certificates from user code. The current context of the users will be gone, and that will cause a DoS scenario. This vulnerability affects all active Node.js versions v16, v18, and, v20.
📍 영향받는 시스템
Node.js v16, v18, v20 모든 활성 버전
⚔️ 공격 벡터
사용자로부터 입력받은 유효하지 않은 공개 키를 포함한 인증서를 crypto.X509Certificate() API로 처리하도록 유도
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 영향받는 버전(v16, v18, v20)에 해당하는지 확인하십시오.