🇰🇷 한글 설명
@octokit/request의 HTTP 응답 link 헤더 파싱 정규표현식이 ReDoS 취약점을 가지고 있어 공격자가 악의적인 link 헤더를 전송하여 과도한 CPU 사용을 유발할 수 있습니다. 이로 인해 서비스 가용성이 영향을 받을 수 있으며, 버전 9.2.1과 8.4.1에서 수정되었습니다.
💡 쉬운 설명
GitHub API 클라이언트 라이브러리의 응답 처리 방식에 문제가 있어서 특수 문자를 포함한 데이터로 공격할 수 있습니다. 이를 이용하면 서버를 느리게 만들거나 중단시킬 수 있습니다.
🇺🇸 원문 (English)
@octokit/request sends parameterized requests to GitHub’s APIs with sensible defaults in browsers and Node. Starting in version 1.0.0 and prior to versions 9.2.1 and 8.4.1, the regular expression `/<([^>]+)>; rel="deprecation"/` used to match the `link` header in HTTP responses is vulnerable to a ReDoS (Regular Expression Denial of Service) attack. This vulnerability arises due to the unbounded nature of the regex's matching behavior, which can lead to catastrophic backtracking when processing specially crafted input. An attacker could exploit this flaw by sending a malicious `link` header, resulting in excessive CPU usage and potentially causing the server to become unresponsive, impacting service availability. Versions 9.2.1 and 8.4.1 fix the issue.
📍 영향받는 시스템
@octokit/request 1.0.0~9.2.0 및 8.0.0~8.4.0
⚔️ 공격 벡터
공격자가 악의적으로 구성된 link HTTP 헤더를 GitHub API 응답으로 전송하여 정규표현식의 catastrophic backtracking 유발
🛡️ 대응 방법
@octokit/request를 9.2.1 이상 또는 8.4.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 9.2.1 이상 또는 8.4.1 이상이면 패치 완료, 그 미만이면 업그레이드 필요
npm list @octokit/request 2>/dev/null | grep @octokit/request | awk '{print $2}' | grep -E '^(9\.[2-9]|[1-9][0-9]\.|8\.[4-9])'