🇰🇷 한글 설명
@fastify/reply-from 12.7.0 미만 버전에서 모든 내장 HTTPS 전송 방식이 보안 기본값을 무시하고 rejectUnauthorized를 false로 설정하는 취약점이 발견되었습니다. 이로 인해 프록시가 업스트림의 TLS 인증서를 검증하지 않아 중간자 공격(MitM)에 노출될 수 있습니다. 해당 문제는 12.7.0 버전에서 수정되었습니다.
💡 쉬운 설명
웹 서버가 다른 서버로 데이터를 전달할 때, 상대방이 진짜인지 확인하는 보안 절차를 건너뛰는 문제가 있습니다. 이로 인해 해커가 중간에서 데이터를 가로채거나 가짜 정보를 보낼 수 있습니다.
🇺🇸 원문 (English)
@fastify/reply-from is a Fastify plugin that forwards requests to an upstream HTTP or HTTPS server. In versions prior to 12.7.0, all of the built-in HTTPS transports override the secure default and set rejectUnauthorized to false, so the proxy does not verify the TLS certificate of the upstream even when the application points it at an https upstream in the default configuration. An on-path network attacker can therefore impersonate the configured HTTPS upstream, read the credentials and request bodies the proxy forwards, and return forged responses that the application trusts. The issue is fixed in @fastify/reply-from 12.7.0, and users should upgrade to 12.7.0 or later. As a workaround, pass an explicit rejectUnauthorized true on the transport, supply an already configured undici instance, or use the undici global agent.
📍 영향받는 시스템
@fastify/reply-from versions prior to 12.7.0
⚔️ 공격 벡터
On-path network attacker (Man-in-the-Middle attack)
🛡️ 대응 방법
@fastify/reply-from 버전을 12.7.0 이상으로 업그레이드하거나, transport 설정 시 rejectUnauthorized를 true로 명시합니다.
🔧 검증 코드
출력된 버전이 12.7.0 미만이면 취약한 상태입니다.
npm list @fastify/reply-from
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server