🇰🇷 한글 설명
Plone CMS의 React 기반 프론트엔드인 Volto에서 익명 사용자가 특정 URL을 방문하여 NodeJS 서버를 강제로 종료시킬 수 있는 취약점이 발견되었습니다. 이 문제는 서비스 가용성에 영향을 미치는 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
💡 쉬운 설명
로그인하지 않은 누구나 특정 웹 주소에 접속하는 것만으로도 웹사이트 서버를 꺼뜨릴 수 있는 문제입니다. 이로 인해 웹사이트가 갑자기 중단되어 사용자들이 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
Volto is a React based frontend for the Plone Content Management System. In versions from 19.0.0-alpha.1 to before 19.0.0-alpha.4, 18.0.0 to before 18.24.0, 17.0.0 to before 17.22.1, and prior to 16.34.0, an anonymous user could cause the NodeJS server part of Volto to quit with an error when visiting a specific URL. The problem has been patched in versions 16.34.0, 17.22.1, 18.24.0, and 19.0.0-alpha.4. To mitigate downtime, have setup automatically restart processes that quit with an error.
📍 영향받는 시스템
Volto 19.0.0-alpha.1 ~ 19.0.0-alpha.3, 18.0.0 ~ 18.23.x, 17.0.0 ~ 17.22.0, 16.34.0 미만 버전
⚔️ 공격 벡터
익명 사용자가 조작된 특정 URL로 요청을 보내 NodeJS 서버 프로세스를 오류와 함께 종료시킴
🛡️ 대응 방법
Volto를 최신 패치 버전(16.34.0, 17.22.1, 18.24.0, 19.0.0-alpha.4 이상)으로 업데이트하거나 프로세스 자동 재시작 설정을 적용하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 시스템은 업데이트가 필요한 상태입니다.
npm list @plone/volto | grep -E '16\[\.(?!34) |17\[\.(?!22\.1) |18\[\.(?!24) |19\.0\.0-alpha\.[1-3]'