🇰🇷 한글 설명
node-tar 6.2.1 미만 버전에서 폴더 생성 시 하위 폴더 개수에 제한이 없는 취약점이 발견되었습니다. 공격자가 과도하게 많은 하위 폴더를 포함한 파일을 생성할 경우, 시스템 메모리를 과다 점유하여 Node.js 클라이언트를 중단시킬 수 있습니다.
💡 쉬운 설명
압축 파일 안에 폴더를 수없이 많이 만들어 시스템의 메모리를 가득 채우는 공격입니다. 이로 인해 컴퓨터가 느려지거나 프로그램이 갑자기 꺼질 수 있습니다.
🇺🇸 원문 (English)
node-tar is a Tar for Node.js. node-tar prior to version 6.2.1 has no limit on the number of sub-folders created in the folder creation process. An attacker who generates a large number of sub-folders can consume memory on the system running node-tar and even crash the Node.js client within few seconds of running it using a path with too many sub-folders inside. Version 6.2.1 fixes this issue by preventing extraction in excessively deep sub-folders.
📍 영향받는 시스템
node-tar version < 6.2.1
⚔️ 공격 벡터
과도하게 깊거나 많은 하위 폴더를 포함한 악성 tar 파일을 생성하여 대상 시스템에서 압축을 해제하도록 유도
🛡️ 대응 방법
node-tar 버전을 6.2.1 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 node-tar의 버전을 확인하여 6.2.1 미만인지 체크