🇰🇷 한글 설명
Axios 1.16.1부터 1.20.0 버전 사이에서 RFC 2397 정규 표현식이 미디어 타입 구분자 양쪽에 슬래시 문자를 허용하는 취약점이 발견되었습니다. 공격자가 슬래시가 다수 포함된 조작된 데이터 URL을 전달할 경우, 정규 표현식 엔진의 과도한 백트래킹으로 인해 Node.js 이벤트 루프가 차단되어 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
특수하게 조작된 웹 주소를 보내면 프로그램이 이를 처리하느라 과도하게 계산을 반복하게 됩니다. 이로 인해 서버가 응답을 멈추고 먹통이 되는 현상이 발생할 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.16.1 until 1.20.0, the RFC 2397 regular expression allows slash characters on both sides of the media-type separator. An application passes an attacker-controlled malformed data URL containing many slash characters and no comma. the JavaScript regular-expression engine explores many separator placements before rejecting the URL. Synchronous excessive backtracking can block the Node.js event loop and cause denial of service. The affected identifiers are fromDataURI, DATA_URL_PATTERN, data:. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios version 1.16.1 to 1.20.0
⚔️ 공격 벡터
공격자가 제어하는 악의적인 데이터 URL(슬래시가 다수 포함된 형태)을 애플리케이션에 전달
🛡️ 대응 방법
Axios를 1.20.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 axios의 버전이 1.16.1 이상 1.20.0 미만인지 확인
npm list axios | grep axios