🇰🇷 한글 설명
Node.js v24.0.0의 V8 엔진에서 rapidhash를 이용한 문자열 해싱 방식이 HashDoS 취약점을 재발생시킵니다. 공격자는 해시 시드를 알지 못해도 의도적으로 많은 해시 충돌을 생성할 수 있어 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
Node.js 24.0.0 이상 버전에서 특정한 문자열 입력이 시스템의 해시 처리를 매우 느리게 만들 수 있습니다. 공격자가 이를 악용하여 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
The V8 release used in Node.js v24.0.0 has changed how string hashes are computed using rapidhash. This implementation re-introduces the HashDoS vulnerability as an attacker who can control the strings to be hashed can generate many hash collisions - an attacker can generate collisions even without knowing the hash-seed.
* This vulnerability affects Node.js v24.x users.
📍 영향받는 시스템
Node.js v24.0.0 이상
⚔️ 공격 벡터
공격자가 의도적으로 해시 충돌을 생성하는 문자열들을 서버에 전송하여 해시 테이블 성능 저하로 인한 DoS 발생
🛡️ 대응 방법
Node.js v24.x에서 패치된 최신 안정 버전 또는 Node.js v22 LTS 이상의 이전 메이저 버전으로 업그레이드
🔧 검증 코드
명령어가 v24.x 버전을 출력하고 '취약함'이 표시되면 CVE-2025-27209에 영향받음, 그 외 경우는 안전
node -v | grep -E 'v24\.[0-9]' && echo '취약함' || echo '안전함'