🇰🇷 한글 설명
Node.js용 ip 패키지 1.1.9 미만 버전에서 특정 IP 주소(예: 0x7f.1)를 공인 IP로 잘못 분류하여 SSRF(서버 측 요청 위조) 취약점이 발생할 수 있습니다. 이로 인해 내부 네트워크로의 비정상적인 접근이 가능해질 수 있습니다.
💡 쉬운 설명
특정 주소를 입력했을 때 시스템이 이를 외부 주소로 착각하여, 원래는 접근하면 안 되는 내부 네트워크 정보를 공격자에게 노출할 수 있는 문제입니다. 마치 보안 검사원이 내부 통로를 외부 도로로 오해하여 문을 열어주는 것과 같습니다.
🇺🇸 원문 (English)
The ip package before 1.1.9 for Node.js might allow SSRF because some IP addresses (such as 0x7f.1) are improperly categorized as globally routable via isPublic.
📍 영향받는 시스템
Node.js ip package versions < 1.1.9
⚔️ 공격 벡터
특수하게 조작된 IP 주소 형식을 입력하여 서버가 내부 네트워크 자원에 요청을 보내도록 유도
🛡️ 대응 방법
ip 패키지를 1.1.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 ip 패키지의 버전이 1.1.9 미만인지 확인