🇰🇷 한글 설명
Nodemailer 3.0.0 미만 10.0.10 버전의 MessageParser.parseHeaders 함수에서 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 헤더를 비정상적으로 길게 구성하여 전달할 경우, CPU 자원을 과도하게 소모하여 Node.js 이벤트 루프를 차단할 수 있습니다.
💡 쉬운 설명
이메일을 보낼 때 사용하는 프로그램의 특정 기능에 결함이 있어, 악의적인 이메일 형식을 보내면 컴퓨터가 과부하에 걸려 멈출 수 있습니다. 공격자가 아주 길고 복잡한 이메일 머리말을 보내 서버의 처리 능력을 마비시키는 방식입니다.
🇺🇸 원문 (English)
Nodemailer from 3.0.0 before 10.0.10 contains a denial of service vulnerability in MessageParser.parseHeaders that allows users to exhaust CPU through quadratic header unfolding. Attackers can supply large recipient lists or long headers that fold into tens of thousands of continuation lines, blocking the Node.js event loop during DKIM signing.
📍 영향받는 시스템
Nodemailer 3.0.0 ~ 10.0.9 버전
⚔️ 공격 벡터
조작된 긴 헤더 또는 수신자 목록을 포함한 이메일 메시지 전송을 통한 CPU 자원 고갈
🛡️ 대응 방법
Nodemailer를 10.0.10 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.0.10 미만인지 확인하여 취약 여부를 판단합니다.
npm list nodemailer | grep nodemailer