🇰🇷 한글 설명
nodemailer 10.0.6 미만 버전에서 addressparser의 자유 텍스트 폴백 정규식 패턴에 이차 백트래킹(quadratic backtracking) 현상이 발생하는 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 공백이 없는 긴 이메일 헤더 값을 전송할 경우 Node.js 이벤트 루프가 수십 초 동안 차단되어 서비스가 중단될 수 있습니다.
💡 쉬운 설명
이메일 주소를 분석하는 과정에서 특수한 형태의 긴 글자가 들어오면 컴퓨터가 이를 처리하느라 과도하게 계산을 반복하게 됩니다. 이로 인해 서버가 응답을 멈추고 먹통이 되는 현상이 발생할 수 있습니다.
🇺🇸 원문 (English)
nodemailer before 10.0.6 contains a denial of service vulnerability in the addressparser free-text fallback regex pattern that exhibits quadratic backtracking behavior. Attackers can supply crafted email header values with long whitespace-free runs to block the Node.js event loop for tens of seconds, causing service unavailability.
📍 영향받는 시스템
nodemailer version < 10.0.6
⚔️ 공격 벡터
공백이 없는 매우 긴 문자열이 포함된 조작된 이메일 헤더 값을 전송
🛡️ 대응 방법
nodemailer를 10.0.6 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 nodemailer의 버전이 10.0.6 미만인지 확인
npm list nodemailer | grep nodemailer