🇰🇷 한글 설명
msgpack5는 Node.js 및 브라우저용 MessagePack v5 구현체입니다. 6.1.0 버전 이전의 스트리밍 디코더는 청크 내의 각 완전한 MessagePack 값에 대해 재귀적으로 자신을 호출합니다. 공격자가 많은 수의 작은 유효한 값을 포함한 하나의 청크를 전송하면 재귀 호출이 값의 개수에 비례하여 발생하여 JavaScript 호출 스택을 고갈시키고 프로세스나 스트림을 중단시킬 수 있습니다.
💡 쉬운 설명
데이터를 읽어들이는 과정에서 너무 많은 작은 데이터를 한꺼번에 보내면 프로그램이 처리 한계를 넘어 멈춰버리는 문제입니다. 이를 통해 서비스가 중단되는 공격이 가능합니다.
🇺🇸 원문 (English)
msgpack5 is a msgpack v5 implementation for node.js and the browser. Prior to 6.1.0, the streaming decoder recursively invokes itself for each complete MessagePack value remaining in a chunk. A remote peer can send one chunk containing many small valid values, causing recursion proportional to the value count, exhausting the JavaScript call stack, and interrupting the process or stream. This issue is fixed in version 6.1.0.
📍 영향받는 시스템
msgpack5 version < 6.1.0
⚔️ 공격 벡터
원격 공격자가 다수의 작은 MessagePack 값을 포함한 특수하게 조작된 데이터 청크를 전송
🛡️ 대응 방법
msgpack5 라이브러리를 6.1.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 6.1.0 미만인지 확인
npm list msgpack5 | grep msgpack5