🇰🇷 한글 설명
Apollo Gateway 2.10.1 미만 버전에서 깊게 중첩되고 재사용되는 이름 지정된 프래그먼트(named fragments)를 포함한 쿼리를 처리할 때 쿼리 계획 단계에서 지수적인 리소스 사용량이 발생합니다. 이 취약점은 프래그먼트 확장 시 중복 계산을 수행하여 과도한 자원을 소모하게 만듭니다. 결과적으로 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
복잡하게 꼬인 질문을 던지면 서버가 이를 해석하느라 모든 힘을 다 써버려 멈추게 만드는 문제입니다. 마치 똑같은 계산을 수만 번 반복하게 만들어 컴퓨터를 마비시키는 것과 같습니다.
🇺🇸 원문 (English)
Apollo Gateway provides utilities for combining multiple GraphQL microservices into a single GraphQL endpoint. Prior to 2.10.1, a vulnerability in Apollo Gateway allowed queries with deeply nested and reused named fragments to be prohibitively expensive to query plan, specifically during named fragment expansion. Named fragments were being expanded once per fragment spread during query planning, leading to exponential resource usage when deeply nested and reused fragments were involved. This could lead to excessive resource consumption and denial of service. This has been remediated in @apollo/gateway version 2.10.1.
📍 영향받는 시스템
@apollo/gateway version 2.10.1 미만
⚔️ 공격 벡터
깊게 중첩되고 재사용되는 이름 지정된 프래그먼트를 포함한 악의적인 GraphQL 쿼리 전송
🛡️ 대응 방법
@apollo/gateway 버전을 2.10.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.10.1보다 낮은지 확인합니다.