🇰🇷 한글 설명
adm-zip 0.6.1 미만 버전에서 인증되지 않은 공격자가 조작된 ZIP 파일을 통해 Node.js 프로세스를 중단시킬 수 있는 서비스 거부(DoS) 취약점이 발견되었습니다. methods/inflater.js의 inflateAsync 함수에 zlib 스트림 오류 리스너가 누락되어 있어, 손상된 DEFLATE 데이터 처리 시 예외를 처리하지 못하고 프로세스가 종료됩니다.
💡 쉬운 설명
악의적으로 만들어진 압축 파일을 업로드하면 서버 프로그램이 오류를 견디지 못하고 갑자기 꺼져버리는 문제입니다. 이로 인해 서버가 작동을 멈추어 정상적인 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
adm-zip before 0.6.1 contains a denial of service vulnerability that allows unauthenticated attackers to crash the Node.js process via a malformed ZIP file, because inflateAsync in methods/inflater.js lacks a zlib stream error listener. Attackers can supply a ZIP with corrupted DEFLATE data processed by readFileAsync, readAsTextAsync, extractAllToAsync, or getDataAsync, triggering an uncatchable exception that terminates all in-flight requests.
📍 영향받는 시스템
adm-zip version < 0.6.1
⚔️ 공격 벡터
조작된 DEFLATE 데이터가 포함된 ZIP 파일을 서버의 압축 해제 함수(extractAllToAsync 등)로 전송
🛡️ 대응 방법
adm-zip 패키지를 0.6.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 adm-zip의 버전이 0.6.1 미만인지 확인