🇰🇷 한글 설명
Undici는 Node.js의 HTTP/1.1 클라이언트로, 5.29.0/6.21.2/7.5.0 이전 버전에서 유효하지 않은 인증서를 가진 서버에 반복적으로 webhook을 호출할 경우 메모리 누수 취약점이 존재합니다. 공격자가 악의적 서버를 운영하면서 애플리케이션이 계속 연결하도록 유도하면 메모리 고갈이 발생할 수 있습니다.
💡 쉬운 설명
Node.js의 Undici 라이브러리에서 특정 상황에 메모리가 계속 누수되는 문제가 있습니다. 공격자가 나쁜 인증서를 가진 서버를 만들고 당신의 앱이 계속 그곳으로 접속하도록 하면 메모리가 점점 차서 시스템이 느려질 수 있습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client for Node.js. Prior to versions 5.29.0, 6.21.2, and 7.5.0, applications that use undici to implement a webhook-like system are vulnerable. If the attacker set up a server with an invalid certificate, and they can force the application to call the webhook repeatedly, then they can cause a memory leak. This has been patched in versions 5.29.0, 6.21.2, and 7.5.0. As a workaound, avoid calling a webhook repeatedly if the webhook fails.
📍 영향받는 시스템
Undici < 5.29.0, < 6.21.2, < 7.5.0 버전
⚔️ 공격 벡터
공격자가 유효하지 않은 인증서를 가진 서버를 운영하고, 애플리케이션이 반복적으로 webhook 호출을 하도록 유도하여 메모리 누수 트리거
🛡️ 대응 방법
Undici를 5.29.0, 6.21.2, 또는 7.5.0 이상으로 업그레이드하거나, webhook 실패 시 반복 호출을 회피
🔧 검증 코드
설치된 Undici 버전을 확인하여 안전한 버전(5.29.0+, 6.21.2+, 7.5.0+)이 설치되어 있는지 확인합니다.
npm list undici 2>/dev/null | grep -E '(5\.(29|3[0-9])|6\.(2[1-9]|[3-9])|7\.[5-9]|[8-9])'