🇰🇷 한글 설명
image-size 2.0.2 버전 이하에서 특수 제작된 이미지 버퍼를 통해 영구적인 서비스 거부(DoS) 취약점이 존재합니다. 공격자는 인식된 박스 타입의 크기가 0인 이미지를 제공하여 JXL 또는 HEIF 파서에서 무한 루프를 유발하고 Node.js 이벤트 루프를 영구적으로 차단할 수 있습니다.
💡 쉬운 설명
해커가 이상한 이미지 파일을 업로드하면 프로그램이 멈추고 다시 시작되지 않는 문제가 있습니다. 이는 이미지 처리 과정에서 무한 루프가 발생하여 시스템 자원을 모두 소모하기 때문입니다.
🇺🇸 원문 (English)
image-size through 2.0.2 contains a denial of service vulnerability that allows remote attackers to permanently block the Node.js event loop by supplying a specially crafted image buffer with a zero-valued size field in a recognized box-type. Attackers can trigger an infinite loop in the JXL or HEIF image parsers by providing a crafted image containing a box with a size of zero, causing the offset to never advance and permanently hanging the application.
📍 영향받는 시스템
image-size <= 2.0.2
⚔️ 공격 벡터
특수 제작된 이미지 버퍼(0 크기 박스)를 통한 원격 공격
🛡️ 대응 방법
image-size 패키지를 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.0.2 이하이거나 vulnerable로 표시되면 취약한 상태입니다.
npm list image-size 2>/dev/null | grep -E 'image-size'