🇰🇷 한글 설명
Mammoth.js 1.12.3 미만 버전의 style map 토크나이저에서 정규 표현식 중복으로 인한 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 특수하게 조작된 .docx 파일을 제공할 경우, 반복되는 백슬래시 이스케이프 문자가 포함된 따옴표 미종료 문자열을 통해 Node.js 이벤트 루프를 차단할 수 있습니다.
💡 쉬운 설명
특수하게 만들어진 워드(.docx) 파일을 읽을 때 프로그램이 계산을 무한히 반복하게 만들어 컴퓨터를 멈추게 하는 공격입니다. 이로 인해 서버가 응답하지 않는 상태가 될 수 있습니다.
🇺🇸 원문 (English)
Mammoth.js 1.3.0 before 1.12.3 contains a regular expression denial of service vulnerability in the style map tokeniser in lib/styles/parser/tokeniser.js due to overlapping regex alternatives. Attackers can supply a crafted .docx with an unterminated quoted string of repeated backslash escapes in mammoth/style-map to block the Node.js event loop.
📍 영향받는 시스템
Mammoth.js 1.3.0 ~ 1.12.2 버전
⚔️ 공격 벡터
조작된 .docx 파일을 업로드하거나 처리하도록 유도하여 정규 표현식 엔진에 과부하를 주는 방식
🛡️ 대응 방법
Mammoth.js를 최신 버전인 1.12.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.12.3보다 낮으면 취약한 상태입니다.
npm list mammoth | grep -E 'mammoth@([0-9]+\.[0-9]+\.[0-9]+)'