🇰🇷 한글 설명
@grpc/grpc-js 라이브러리에서 애플리케이션 메서드 핸들러가 처리되지 않은 오류를 발생시킬 경우, 서버가 해당 오류 메시지를 클라이언트에 전송하는 취약점이 발견되었습니다. 이로 인해 오류 메시지에 포함된 민감한 정보가 외부로 노출될 수 있습니다. 이 문제는 1.13.6 및 1.14.5 버전에서 수정되었습니다.
💡 쉬운 설명
프로그램 실행 중 예상치 못한 에러가 발생하면, 그 에러 내용이 사용자에게 그대로 전달되는 문제입니다. 이 과정에서 서버의 중요한 내부 정보가 해커에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
@grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, when an application method handler throws an uncaught error, the server includes its error message in the status message sent to the client. The thrown error message is transmitted to the client, causing sensitive information disclosure when the message contains sensitive data. This issue is fixed in versions 1.13.6 and 1.14.5.
📍 영향받는 시스템
@grpc/grpc-js versions prior to 1.13.6 and 1.14.5
⚔️ 공격 벡터
애플리케이션 핸들러에서 의도적으로 또는 특정 조건에서 예외(Exception)를 발생시켜 서버의 에러 메시지를 탈취
🛡️ 대응 방법
@grpc/grpc-js 라이브러리를 1.13.6 또는 1.14.5 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.13.6 또는 1.14.5보다 낮은지 확인
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server