🇰🇷 한글 설명
NestJS 프레임워크의 TCP 또는 RabbitMQ 전송 계층에서 발생하는 취약점으로, 깊게 중첩된 객체가 포함된 메시지를 처리할 때 발생합니다. 공격자가 조작된 메시지를 보내면 JSON.stringify 과정에서 스택 오버플로가 발생하여 마이크로서비스가 강제 종료될 수 있습니다.
💡 쉬운 설명
서비스에 너무 복잡하고 깊게 꼬인 데이터를 보내서 서버를 마비시키는 공격입니다. 이로 인해 서비스가 갑자기 꺼져서 정상적인 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Nest is a framework for building scalable Node.js server-side applications. Prior to 11.2.4 and 12.0.2, a single message with a deeply nested object in its pattern can terminate a NestJS microservice using the TCP or RabbitMQ transport. ServerTCP#handleMessage and ServerRMQ#handleMessage pass a client-controlled non-string pattern to JSON.stringify to derive the handler lookup key; sufficiently deep nesting throws RangeError: Maximum call stack size exceeded, and the unhandled promise rejection terminates Node.js under its default behavior. An attacker who can reach the TCP port or publish to the consumed RabbitMQ queue or exchange can crash the service on demand; other transports are not affected because their patterns arrive as strings. This issue is fixed in versions 11.2.4 and 12.0.2.
📍 영향받는 시스템
NestJS versions prior to 11.2.4 and 12.0.2 (using TCP or RabbitMQ transport)
⚔️ 공격 벡터
TCP 포트에 접근하거나 RabbitMQ 큐/교환기에 깊게 중첩된 객체가 포함된 메시지를 전송
🛡️ 대응 방법
NestJS를 11.2.4 또는 12.0.2 이상의 버전으로 업데이트
🔧 검증 코드
출력된 NestJS 버전이 11.2.4 또는 12.0.2보다 낮은지 확인
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server