🇰🇷 한글 설명
Node.js의 TLS 호스트명 검증에서 결함이 발견되었습니다. 전각 숫자(예: １２７.0.0.1)처럼 비ASCII 문자로 작성된 호스트는 IP 주소로 인식되지 않아, IP SAN이 없는 인증서로도 IPv4 주소에 대한 연결이 인증될 수 있습니다. 이는 CVE-2026-48618 수정 이후 발생한 회귀 취약점입니다.
💡 쉬운 설명
인터넷 연결이 올바른 상대방과 맺어진 것인지 확인하는 과정에 허점이 있습니다. 특정 특수 문자로 주소를 적으면 프로그램이 이를 IP 주소로 알아보지 못해 잘못된 인증서를 믿을 수 있습니다.
🇺🇸 원문 (English)
A flaw in Node.js TLS hostname verification allows a certificate without a matching IP address SAN to authenticate a connection to an IPv4 address when the host is written with non-ASCII characters, such as fullwidth digits (`１２７.0.0.1`).
`tls.checkServerIdentity()` did not recognize such hosts as IP addresses, even though they normalize and resolve to a regular IPv4 address, and matched them against the certificate DNS names and Common Name instead. A certificate containing `DNS:127.0.0.1` or `DNS:*.0.0.1` could therefore be accepted for an IP endpoint it was not issued for. This is a regression introduced after the fix for CVE-2026-48618.
This vulnerability affects Node.js **26.x** and **24.x**.
📍 영향받는 시스템
Node.js 26.x 및 24.x 버전
⚔️ 공격 벡터
전각 숫자 등 비ASCII 문자로 표기된 IP 주소와 DNS 이름만 있는 인증서를 이용해 중간자 공격으로 TLS 연결을 가로채는 방식
🛡️ 대응 방법
Node.js를 패치된 최신 보안 버전으로 업데이트합니다.
🔧 검증 코드
출력된 버전이 26.x 또는 24.x이면 취약 가능성이 있으므로 공식 패치 버전으로 업데이트가 필요하며, 그 외 버전이면 이 취약점의 영향을 받지 않습니다.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Node.js 제품 보안 업데이트 권고
P4
📅 2026-10-23 · sec_notice
Node.js 제품에서 Null Byte 처리 미흡, 인증서 검증 오류, 경계 외 쓰기 등 보안 취약점이 발견되었습니다. 해당 제품의 구버전을 사용하는 사용자는 보안 위협 방지를 위해 최신 버전으로 업데이트해야 합니다.