🇰🇷 한글 설명
msgpack5 라이브러리의 배열 및 맵 디코딩 과정에서 중첩 깊이 제한이 없어 발생하는 취약점입니다. 공격자가 깊게 중첩된 MessagePack 입력을 제공할 경우 JavaScript 호출 스택을 고갈시켜 프로세스나 요청 처리기를 중단시킬 수 있습니다.
💡 쉬운 설명
데이터를 해석할 때 너무 깊게 겹쳐진 구조를 처리하다가 컴퓨터의 메모리 한계를 넘어서는 문제입니다. 이로 인해 프로그램이 갑자기 멈추거나 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
msgpack5 is a msgpack v5 implementation for node.js and the browser. Prior to 6.1.0, the array and map decoding paths have no nesting-depth limit, allowing an attacker who can provide MessagePack input to submit deeply nested containers that exhaust the JavaScript call stack and interrupt a process, worker, or request handler. This issue is fixed in version 6.1.0.
📍 영향받는 시스템
msgpack5 version < 6.1.0
⚔️ 공격 벡터
악의적으로 조작된 깊은 중첩 구조의 MessagePack 데이터를 입력값으로 전송
🛡️ 대응 방법
msgpack5 라이브러리를 6.1.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 6.1.0 미만인지 확인
npm list msgpack5 | grep msgpack5