🇰🇷 한글 설명
Picomatch 4.0.7 이하 버전에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 특정 패턴의 extglob을 제공하면 분석 과정에서 지수적 백트래킹이 발생하여 Node.js 애플리케이션의 이벤트 루프를 차단할 수 있습니다.
💡 쉬운 설명
특수한 패턴의 글자들을 입력하면 컴퓨터가 이를 계산하느라 과도하게 힘을 써서 프로그램이 멈춰버리는 문제입니다. 이를 통해 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Picomatch through 4.0.7 contains a regular expression denial of service vulnerability that allows attackers to block the event loop by supplying single-branch repeated extglob patterns. Attackers can provide globs like +(*) or +(*a), which analyzeRepeatedExtglob in lib/parse.js skips, causing exponential backtracking against short crafted strings and denying service to Node.js applications.
📍 영향받는 시스템
Picomatch 4.0.7 이하 모든 버전
⚔️ 공격 벡터
조작된 extglob 패턴(예: +(*) 또는 +(*a))이 포함된 문자열을 입력값으로 제공
🛡️ 대응 방법
Picomatch를 4.0.8 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 picomatch의 버전이 4.0.7 이하인지 확인