🇰🇷 한글 설명
Apollo Router Core의 쿼리 플래너에서 깊게 중첩되고 재사용된 이름 지정된 프래그먼트를 포함한 쿼리를 처리할 때 최적화가 우회되는 취약점이 발견되었습니다. 이로 인해 쿼리 계획 시간이 비정상적으로 길어지며, 타임아웃 제한이 없어 스레드 풀을 고갈시켜 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
복잡하게 꼬인 질문을 던지면 서버가 이를 해석하느라 모든 힘을 다 써버려 먹통이 되는 문제입니다. 공격자가 이 방법을 사용하면 서버를 마비시켜 정상적인 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
The Apollo Router Core is a configurable, high-performance graph router written in Rust to run a federated supergraph that uses Apollo Federation 2. A vulnerability in Apollo Router allowed queries with deeply nested and reused named fragments to be prohibitively expensive to query plan, specifically due to internal optimizations being frequently bypassed. The query planner includes an optimization that significantly speeds up planning for applicable GraphQL selections. However, queries with deeply nested and reused named fragments can generate many selections where this optimization does not apply, leading to significantly longer planning times. Because the query planner does not enforce a timeout, a small number of such queries can exhaust router's thread pool, rendering it inoperable. This could lead to excessive resource consumption and denial of service. This has been remediated in apollo-router versions 1.61.2 and 2.1.1.
📍 영향받는 시스템
Apollo Router (1.61.2 및 2.1.1 미만 버전)
⚔️ 공격 벡터
깊게 중첩되고 재사용된 이름 지정된 프래그먼트를 포함한 악의적인 GraphQL 쿼리 전송
🛡️ 대응 방법
Apollo Router를 버전 1.61.2 또는 2.1.1 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.61.2 또는 2.1.1 이상인지 확인하여 취약 여부를 판단합니다.
apollo-router --version 2>/dev/null || echo 'Version not found'