🇰🇷 한글 설명
Axios 1.13.0부터 1.20.0 버전 사이에서 HTTP/2 세션 초기화 또는 재사용 중 발생하는 오류에 대한 적절한 예외 처리가 누락되었습니다. 이로 인해 처리되지 않은 세션 오류가 Promise 거부 처리를 벗어나 Node.js 프로세스를 강제로 종료시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
Axios 라이브러리를 사용할 때 특정 네트워크 연결 오류가 발생하면 프로그램이 예외 처리를 하지 못하고 갑자기 꺼져버리는 문제입니다. 이로 인해 서버가 중단되어 서비스를 이용할 수 없게 될 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.13.0 until 1.20.0, Http2Sessions does not install adequate error handling for a ClientHttp2Session during Axios HTTP/2 session initialization or reuse. A request uses httpVersion: 2 and the ClientHttp2Session emits an error during session initialization or reuse. The unhandled session error escapes normal Promise rejection handling. The uncaught error can terminate the Node.js process and cause denial of service. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios versions 1.13.0 to 1.20.0
⚔️ 공격 벡터
HTTP/2를 사용하는 환경에서 의도적으로 세션 오류를 유발하여 Node.js 프로세스를 종료시킴
🛡️ 대응 방법
Axios를 1.20.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 axios의 버전이 1.13.0 이상 1.20.0 미만인지 확인하십시오.
npm list axios | grep axios