🇰🇷 한글 설명
Rust로 구현된 GraphQL 서버 라이브러리인 async-graphql 7.0.10 미만 버전에서 필드에 대한 디렉티브(directive) 개수를 제한하지 않는 취약점이 발견되었습니다. 이로 인해 서비스 중단, 리소스 고갈 및 사용자 경험 저하가 발생할 수 있습니다.
💡 쉬운 설명
GraphQL 요청을 보낼 때 특정 명령어를 무제한으로 넣을 수 있어 서버의 자원을 과도하게 사용하게 만드는 문제입니다. 이로 인해 서버가 느려지거나 아예 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
async-graphql is a GraphQL server library implemented in Rust. async-graphql before 7.0.10 does not limit the number of directives for a field. This can lead to Service Disruption, Resource Exhaustion, and User Experience Degradation. This vulnerability is fixed in 7.0.10.
📍 영향받는 시스템
async-graphql versions before 7.0.10
⚔️ 공격 벡터
GraphQL 쿼리 내의 필드에 과도하게 많은 디렉티브를 포함하여 요청을 전송하는 방식
🛡️ 대응 방법
async-graphql 라이브러리를 7.0.10 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 7.0.10 미만인지 확인하십시오.
cargo pkgid async-graphql 2>/dev/null | grep -oE 'async-graphql@([0-9]+\.[0-9]+\.[0-9]+)'