🇰🇷 한글 설명
JavaScript용 ip-address 라이브러리의 10.2.0부터 10.5.1 버전 사이에서 NAT64 로컬 사용 범위인 64:ff9b:1::/48을 isPrivate 분류기가 인식하지 못하는 취약점이 발견되었습니다. 이로 인해 내부 IPv4 목적지를 외부 주소로 오인하여 네트워크 신뢰 경계를 우회할 수 있습니다.
💡 쉬운 설명
특정 주소 범위를 내부 주소로 인식하지 못하는 오류가 있어, 외부 공격자가 내부 네트워크에 접근할 수 있는 위험이 있습니다. 보안 경계를 설정할 때 이 주소를 외부 주소로 착각하여 보안이 뚫릴 수 있습니다.
🇺🇸 원문 (English)
ip-address is a library for parsing and manipulating IPv4 and IPv6 addresses in JavaScript. From 10.2.0 until 10.5.1, the Address6 isPrivate classifier in src/ipv6.ts does not recognize the NAT64 local-use range 64:ff9b:1::/48. Applications that combine isPrivate, isLoopback, and isLinkLocal for a trust-boundary decision can treat an internal IPv4 destination encoded through that range as external. Exploitation depends on a server network using an operator-selected NAT64 prefix within the local-use range. A successful bypass can cross the intended network trust boundary. This issue is fixed in version 10.5.1.
📍 영향받는 시스템
ip-address library versions 10.2.0 to 10.5.1
⚔️ 공격 벡터
NAT64 접두사를 사용하는 네트워크 환경에서 특정 IPv6 주소를 통해 내부 IPv4 네트워크로의 신뢰 경계 우회
🛡️ 대응 방법
ip-address 라이브러리를 10.5.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 ip-address의 버전이 10.5.1 미만인지 확인하십시오.
💻 영향받는 소프트웨어
IBM WebSphere Application Server