🇰🇷 한글 설명
Undici의 HTTP/1.1 클라이언트 라이브러리에서 fetch() 요청 중 response.arrayBuffer() 메서드가 Node.js 프로세스의 메모리 일부를 포함할 수 있는 정보 유출 취약점입니다. 네트워크 및 프로세스 조건에 따라 민감한 데이터가 노출될 수 있으며, v6.19.2에서 패치되었습니다.
💡 쉬운 설명
인터넷에서 데이터를 받을 때 프로그램의 비공개 메모리 일부가 함께 유출될 수 있습니다. Undici를 최신 버전으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client, written from scratch for Node.js. Depending on network and process conditions of a `fetch()` request, `response.arrayBuffer()` might include portion of memory from the Node.js process. This has been patched in v6.19.2.
📍 영향받는 시스템
Undici v6.19.2 이전의 모든 버전 (Node.js HTTP 클라이언트 라이브러리)
⚔️ 공격 벡터
네트워크 조건을 악용하여 fetch() 요청 중 response.arrayBuffer() 호출로 메모리 유출 유도
🛡️ 대응 방법
Undici를 v6.19.2 이상으로 업그레이드 (npm install undici@latest)
🔧 검증 코드
출력된 버전이 6.19.2 이상이면 안전, 이하면 취약한 상태입니다.
npm list undici 2>/dev/null | grep -oE 'undici@[0-9]+\.[0-9]+\.[0-9]+' | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'