🇰🇷 한글 설명
image-size 2.0.2 버전 이하에는 악의적으로 조작된 이미지 버퍼를 통해 Node.js 이벤트 루프를 영구적으로 차단하는 서비스 거부 취약점이 존재합니다. 공격자는 JXL 또는 HEIF 이미지 파서에서 크기 필드가 0인 박스를 제공하여 오프셋이 진행되지 않도록 하고 무한 루프를 유발할 수 있습니다.
💡 쉬운 설명
해커가 이상한 이미지 파일을 업로드하면 프로그램이 멈추고 다시 시작되지 않을 수 있습니다. 이는 이미지 처리 과정에서 오류가 발생해 프로그램이 무한히 기다리게 되기 때문입니다.
🇺🇸 원문 (English)
image-size through 2.0.2 contains a denial of service vulnerability that allows remote attackers to permanently block the Node.js event loop by supplying a specially crafted image buffer with a zero-valued size field in a recognized box-type. Attackers can trigger an infinite loop in the JXL or HEIF image parsers by providing a crafted image containing a box with a size of zero, causing the offset to never advance and permanently hanging the application.
📍 영향받는 시스템
image-size <= 2.0.2
⚔️ 공격 벡터
특수 제작된 JXL 또는 HEIF 이미지 버퍼 전송
🛡️ 대응 방법
image-size 패키지를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.0.2 이하이거나 vulnerable로 표시되면 취약한 상태입니다.
npm list image-size 2>/dev/null | grep -E 'image-size'