🇰🇷 한글 설명
Node.js용 HTTP 클라이언트 라이브러리인 undici의 fetch() 구현체에서 SRI(Subresource Integrity) 메타데이터 검증 시 알고리즘 토큰을 소문자로만 처리하는 결함이 발견되었습니다. 이로 인해 대문자가 포함된 유효한 SRI 토큰이 인식되지 않아 무시되며, 결과적으로 서버가 조작된 응답 본문을 전달하더라도 무결성 검사를 통과하게 됩니다. 이 문제는 undici 7.30.1 및 8.12.2 버전에서 수정되었습니다.
💡 쉬운 설명
데이터가 변조되지 않았는지 확인하는 보안 기능이 대문자 사용 시 제대로 작동하지 않는 문제입니다. 공격자가 데이터를 바꿔치기해도 프로그램이 이를 알아채지 못하고 그대로 받아들일 수 있습니다.
🇺🇸 원문 (English)
undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1, its fetch() implementation verifies Subresource Integrity metadata by matching the algorithm token against a lowercase-only set, even though the SRI specification defines the token by its ASCII-lowercase form, so a valid but non-lowercase token such as an uppercase or mixed-case SHA256 is treated as unknown and skipped. When no recognized algorithm remains, undici treats the integrity list as empty and accepts the response, so a server returning a body that does not match the pinned digest passes the check. An attacker who controls only the response body can therefore deliver attacker-controlled bytes to an application that pinned a valid uppercase or mixed-case SRI token, with no integrity error, affecting response integrity only. The issue is fixed in undici 7.30.1 and 8.12.2, which normalize the algorithm token to ASCII lowercase before validation, and users should upgrade to one of those versions or later. As a workaround, use lowercase algorithm tokens such as sha256, sha384, or sha512 in integrity metadata.
📍 영향받는 시스템
undici versions 7.15.0 - 7.30.0 and 8.0.0 - 8.12.1
⚔️ 공격 벡터
공격자가 응답 본문을 제어할 수 있는 환경에서 대문자가 포함된 SRI 토큰을 사용하는 애플리케이션에 조작된 데이터를 전달
🛡️ 대응 방법
undici를 7.30.1 또는 8.12.2 이상의 버전으로 업그레이드하거나, SRI 토큰에 소문자 알고리즘(sha256 등)만 사용
🔧 검증 코드
출력된 undici의 버전을 확인하여 취약한 범위(7.15.0-7.30.0 또는 8.0.0-8.12.1)에 해당하는지 확인
npm list undici | grep undici
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server