🇰🇷 한글 설명
Axios 1.13.0부터 1.20.0 버전 사이에서 HTTP/2 요청 설정 시 프록시 설정 및 사용자 지정 DNS 조회 정책이 일관되게 적용되지 않는 취약점이 발견되었습니다. 이로 인해 HTTPS 요청이 설정된 프록시를 우회하거나 지정된 DNS 정책을 무시하고 연결될 수 있습니다. 해당 문제는 1.20.0 버전에서 수정되었습니다.
💡 쉬운 설명
Axios 라이브러리를 사용할 때 보안을 위해 설정해둔 프록시나 DNS 규칙이 HTTP/2 통신 시 무시될 수 있는 문제입니다. 이로 인해 데이터가 의도치 않은 경로로 전달되거나 보안 설정이 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.13.0 until 1.20.0, Axios HTTP/2 request setup does not consistently apply proxy settings and caller-supplied DNS lookup policy. An HTTPS request uses httpVersion: 2 with explicit config.proxy or environment-derived proxy settings, or relies on caller-supplied config.lookup DNS policy. The HTTP/2 path can connect without the configured proxy behavior or without applying the caller-supplied config.lookup policy before http2.connect(). Requests can bypass the intended proxy route or the caller-supplied DNS resolution policy. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios version 1.13.0 ~ 1.20.0
⚔️ 공격 벡터
설정된 프록시 또는 DNS 정책을 우회하여 의도하지 않은 네트워크 경로로 HTTP/2 요청을 전송함
🛡️ 대응 방법
Axios를 최신 버전인 1.20.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 axios의 버전이 1.13.0 이상 1.20.0 미만인지 확인하십시오.
npm list axios | grep axios