🇰🇷 한글 설명
msgpack5 6.1.0 미만 버전에서 스트리밍 디코더가 불완전한 배열이나 맵을 처리할 때 데이터 청크가 들어올 때마다 처음부터 다시 파싱하는 문제가 있습니다. 공격자가 유효한 MessagePack 컨테이너를 여러 개의 작은 청크로 나누어 전송하면, 이미 디코딩된 요소를 반복적으로 처리하게 되어 CPU 사용량이 기하급수적으로 증가하고 이벤트 루프가 차단될 수 있습니다.
💡 쉬운 설명
데이터를 조금씩 나누어 보낼 때 컴퓨터가 이미 읽은 내용을 계속 처음부터 다시 읽게 만드는 공격입니다. 이로 인해 컴퓨터의 처리 능력이 급격히 떨어져 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
msgpack5 is a msgpack v5 implementation for node.js and the browser. Prior to 6.1.0, the streaming decoder reparses an incomplete array or map from the beginning whenever another chunk arrives. A remote peer can split one valid MessagePack container across many small chunks, causing completed elements to be decoded repeatedly, producing quadratic CPU use and blocking the event loop. This issue is fixed in version 6.1.0.
📍 영향받는 시스템
msgpack5 versions prior to 6.1.0
⚔️ 공격 벡터
원격 공격자가 조작된 작은 크기의 MessagePack 데이터 청크를 지속적으로 전송하여 CPU 자원을 고갈시킴
🛡️ 대응 방법
msgpack5 라이브러리를 6.1.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 msgpack5의 버전이 6.1.0 미만인지 확인하십시오.