🇰🇷 한글 설명
WebAssembly 모듈의 export 이름을 악의적으로 조작하여 JavaScript 코드를 주입할 수 있는 취약점입니다. 주입된 코드는 WebAssembly 모듈이 접근할 수 없는 데이터와 함수에 접근할 수 있으며, JavaScript 모듈처럼 동작합니다.
💡 쉬운 설명
Node.js에서 WebAssembly 실행 시 악의적인 코드를 몰래 심어 시스템의 민감한 정보에 접근할 수 있습니다. 이는 --experimental-wasm-modules 옵션으로 실행한 Node.js에만 영향을 줍니다.
🇺🇸 원문 (English)
Maliciously crafted export names in an imported WebAssembly module can inject JavaScript code. The injected code may be able to access data and functions that the WebAssembly module itself does not have access to, similar to as if the WebAssembly module was a JavaScript module.
This vulnerability affects users of any active release line of Node.js. The vulnerable feature is only available if Node.js is started with the `--experimental-wasm-modules` command line option.
📍 영향받는 시스템
Node.js 모든 활성 릴리스 라인 (--experimental-wasm-modules 플래그 사용 시)
⚔️ 공격 벡터
악의적으로 조작된 WebAssembly 모듈의 export 이름을 통한 JavaScript 코드 주입
🛡️ 대응 방법
Node.js를 최신 버전으로 업그레이드하거나, --experimental-wasm-modules 플래그 사용을 중단
🔧 검증 코드
Node.js 버전 확인 후 공식 보안 권고사항에서 해당 버전의 취약점 패치 여부를 확인
node --version && node -e "console.log(process.version)" 2>&1 | head -1