🇰🇷 한글 설명
Windows 환경의 Node.js에서 드라이브 이름을 처리할 때 발생하는 취약점입니다. 특정 Node.js 함수가 Windows의 드라이브 이름을 특수하게 처리하지 않아, 상대 경로로 의도된 경로가 실제로는 루트 디렉토리를 참조하게 됩니다. 이 문제는 Windows 사용자가 path.join API를 사용할 때 영향을 받습니다.
💡 쉬운 설명
윈도우용 Node.js 프로그램이 파일 경로를 계산할 때 실수로 컴퓨터의 가장 뿌리가 되는 폴더(루트 디렉토리)를 가리키게 되는 문제입니다. 이로 인해 원래 접근하면 안 되는 중요한 시스템 파일에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified in Node.js, specifically affecting the handling of drive names in the Windows environment. Certain Node.js functions do not treat drive names as special on Windows. As a result, although Node.js assumes a relative path, it actually refers to the root directory.
On Windows, a path that does not start with the file separator is treated as relative to the current directory.
This vulnerability affects Windows users of `path.join` API.
📍 영향받는 시스템
Windows 환경에서 path.join API를 사용하는 Node.js 설치 버전
⚔️ 공격 벡터
조작된 드라이브 이름이 포함된 경로를 path.join 함수에 입력하여 의도치 않은 루트 디렉토리 접근 유도
🛡️ 대응 방법
Node.js를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Node.js 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 보안 공지 사항과 대조