🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici에서 발생한 취약점입니다. fetch() 함수와 달리 undici.request() 호출 시 Authorization 및 Proxy-Authorization 헤더가 제대로 삭제되지 않아 인증 정보가 노출될 수 있습니다.
💡 쉬운 설명
인터넷 통신을 도와주는 도구에서 사용자의 비밀번호나 인증 정보가 실수로 다음 통신에까지 전달될 수 있는 문제입니다. 이로 인해 중요한 개인 정보가 의도치 않게 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici cleared Authorization and Proxy-Authorization headers for `fetch()`, but did not clear them for `undici.request()`. This vulnerability was patched in version(s) 5.28.4 and 6.11.1.
📍 영향받는 시스템
Undici 버전 5.28.4 미만 및 6.11.1 미만 버전
⚔️ 공격 벡터
undici.request()를 사용하는 애플리케이션에서 리다이렉트 발생 시 이전 요청의 인증 헤더가 유지되는 방식 이용
🛡️ 대응 방법
Undici를 버전 5.28.4 또는 6.11.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 undici의 버전을 확인하여 5.28.4 또는 6.11.1보다 낮은지 체크합니다.
npm list undici | grep undici