🇰🇷 한글 설명
Hono 웹 애플리케이션 프레임워크의 getPath 유틸리티 함수에서 경로 혼동 취약점이 발견되었습니다. 특정 형식을 갖춘 잘못된 요청 URI를 사용할 경우 경로 추출이 잘못되어 Nginx와 같은 프록시 계층의 ACL(액세스 제어 목록)을 우회할 수 있습니다. 이로 인해 /admin과 같은 민감한 엔드포인트에 대한 권한 없는 접근이 가능해질 수 있습니다.
💡 쉬운 설명
웹사이트의 주소를 해석하는 과정에서 오류가 발생하여, 보안 검사를 통과해야 하는 관리자 페이지를 몰래 들어갈 수 있는 문제입니다. 주소를 교묘하게 조작하면 보안 장비가 이를 정상적인 요청으로 착각하게 만듭니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Versions 4.8.0 through 4.9.5 contain a flaw in the getPath utility function which could allow path confusion and potential bypass of proxy-level ACLs (e.g. Nginx location blocks). The original implementation relied on fixed character offsets when parsing request URLs. Under certain malformed absolute-form Request-URIs, this could lead to incorrect path extraction depending on the application and environment. If proxy ACLs are used to protect sensitive endpoints such as /admin, this flaw could have allowed unauthorized access. The confidentiality impact depends on what data is exposed: if sensitive administrative data is exposed, the impact may be high, otherwise it may be moderate. This issue is fixed in version 4.9.6.
📍 영향받는 시스템
Hono framework versions 4.8.0 through 4.9.5
⚔️ 공격 벡터
잘못된 형식을 갖춘 절대 경로 형태의 Request-URI를 전송하여 경로 해석 오류 유도
🛡️ 대응 방법
Hono 프레임워크를 버전 4.9.6 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.8.0에서 4.9.5 사이라면 취약한 상태이며, 4.9.6 이상이면 안전합니다.
npm list hono | grep hono