🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici에서 교차 출처 리다이렉트 발생 시 Proxy-Authentication 헤더가 삭제되지 않는 취약점이 발견되었습니다. 이로 인해 프록시 인증 정보가 의도치 않게 외부 서버로 노출될 위험이 있습니다. 해당 문제는 버전 5.28.3 및 6.6.1에서 패치되었습니다.
💡 쉬운 설명
인터넷 주소가 바뀌는 과정에서 사용자의 프록시 비밀번호 정보가 다른 사이트로 몰래 전달될 수 있는 문제입니다. 이를 방지하기 위해 소프트웨어를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici already cleared Authorization headers on cross-origin redirects, but did not clear `Proxy-Authentication` headers. This issue has been patched in versions 5.28.3 and 6.6.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Undici 버전 5.28.3 미만 및 6.6.1 미만 버전
⚔️ 공격 벡터
교차 출처 리다이렉트(Cross-origin redirect)를 유도하여 프록시 인증 헤더 탈취
🛡️ 대응 방법
Undici를 버전 5.28.3 또는 6.6.1 이상으로 업그레이드
🔧 검증 코드
출력된 undici의 버전이 5.28.3 또는 6.6.1 이상인지 확인