🇰🇷 한글 설명
Nodemailer 3.0.0 미만 10.0.10 버전에서 SMTP 클라이언트 응답 파서에 이차 복잡도(quadratic complexity)로 인한 서비스 거부(DoS) 취약점이 발견되었습니다. 악의적인 SMTP 서버나 중간자 공격자가 인증 전 완료 라인 없이 연속된 라인을 스트리밍하면 Node.js 이벤트 루프가 차단되고 메모리가 고갈될 수 있습니다.
💡 쉬운 설명
메일 전송 프로그램이 서버의 응답을 처리할 때, 끝이 나지 않는 데이터를 계속 보내면 컴퓨터의 메모리가 가득 차고 멈춰버리는 문제입니다. 공격자가 가짜 메일 서버를 통해 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Nodemailer from 3.0.0 before 10.0.10 contains a quadratic complexity denial of service vulnerability in the SMTP client reply parser in SMTPConnection._onData and isPartialResponse. A malicious SMTP server or on-path attacker can stream continuation lines without a completion line before authentication, blocking the Node.js event loop and exhausting memory.
📍 영향받는 시스템
Nodemailer 3.0.0 ~ 10.0.9 버전
⚔️ 공격 벡터
악의적인 SMTP 서버 또는 네트워크 중간자(On-path) 공격을 통한 무한 데이터 스트리밍
🛡️ 대응 방법
Nodemailer를 10.0.10 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.0.10 미만인 경우 해당 취약점에 노출된 상태입니다.
npm list nodemailer | grep nodemailer