🇰🇷 한글 설명
node-tar 7.5.1에서 sync 모드로 tar 파일의 엔트리 내용을 읽을 때, 읽는 중에 디스크의 tar 파일이 더 작은 크기로 변경되면 초기화되지 않은 메모리 내용이 반환됩니다. 이는 민감한 정보 유출을 초래할 수 있으며, 7.5.2에서 수정되었습니다.
💡 쉬운 설명
node-tar 라이브러리를 사용하여 압축 파일을 빠르게 읽을 때, 누군가가 읽는 도중 파일을 축소하면 컴퓨터 메모리의 민감한 데이터가 실수로 노출될 수 있습니다. 버전 7.5.2 이상으로 업그레이드하면 됩니다.
🇺🇸 원문 (English)
node-tar is a Tar for Node.js. In 7.5.1, using .t (aka .list) with { sync: true } to read tar entry contents returns uninitialized memory contents if tar file was changed on disk to a smaller size while being read. This vulnerability is fixed in 7.5.2.
📍 영향받는 시스템
node-tar 7.5.1 (7.5.2 이상은 패치됨)
⚔️ 공격 벡터
로컬 공격자가 tar 파일을 동기 모드로 읽는 중에 파일 크기를 조작하여 초기화되지 않은 메모리 내용을 읽음
🛡️ 대응 방법
node-tar를 7.5.2 이상으로 즉시 업그레이드
🔧 검증 코드
명령어 출력에서 node-tar 버전이 7.5.1 이하면 취약하고, 7.5.2 이상이면 패치됨
npm list node-tar 2>/dev/null | grep -E 'node-tar@[0-7]\.[0-5]\.[01]|node-tar@[0-7]\.[0-4]'