🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici에서 발생하는 취약점입니다. 공격자가 fetch() 함수에 전달되는 integrity 옵션을 조작하여, 데이터가 변조되었음에도 불구하고 유효한 요청으로 수락하게 만들 수 있습니다.
💡 쉬운 설명
데이터가 중간에 바뀌었는지 확인하는 검사 기능이 제대로 작동하지 않는 문제입니다. 이로 인해 해커가 보낸 가짜 데이터를 진짜 데이터로 착각하고 받아들일 위험이 있습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client, written from scratch for Node.js. An attacker can alter the `integrity` option passed to `fetch()`, allowing `fetch()` to accept requests as valid even if they have been tampered. This vulnerability was patched in version(s) 5.28.4 and 6.11.1.
📍 영향받는 시스템
Undici 버전 5.28.4 미만 및 6.11.1 미만
⚔️ 공격 벡터
fetch() 호출 시 전달되는 integrity 옵션 값을 조작하여 데이터 무결성 검증을 우회함
🛡️ 대응 방법
Undici를 버전 5.28.4 또는 6.11.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 undici의 버전을 확인하여 5.28.4 또는 6.11.1보다 낮은지 체크합니다.