🇰🇷 한글 설명
minimatch 11.0.1 이전 버전의 src/index.ts에서 optimizationLevel 2 이상일 때 firstPhasePreProcess()가 공격자가 제어하는 **/.. 패턴 세그먼트를 고정점 루프 안에서 반복 확장합니다. 이후 secondPhasePreProcess()가 확장된 항목들을 쌍으로 비교하므로, 짧은 악성 glob만으로도 패턴 컴파일 중 과도한 CPU 및 메모리 사용이 발생할 수 있습니다. 이 문제는 11.0.1 버전에서 수정되었습니다.
💡 쉬운 설명
minimatch는 파일 경로 패턴(glob)을 처리하는 널리 쓰이는 자바스크립트 라이브러리입니다. 악의적으로 만든 짧은 패턴을 입력하면 프로그램이 과도한 연산을 하며 서버의 CPU와 메모리를 거의 다 써버릴 수 있습니다.
🇺🇸 원문 (English)
minimatch is a minimal matching utility for converting glob expressions into JavaScript RegExp objects. Prior to 11.0.1, src/index.ts implements firstPhasePreProcess() so that, at optimizationLevel 2 or higher, it repeatedly expands attacker-controlled **/.. pattern segments inside a fixpoint loop, allowing generated globParts entries to be processed and expanded again. secondPhasePreProcess() then compares the expanded entries pairwise, so a short malicious glob can cause excessive CPU and memory consumption during pattern compilation. This issue is fixed in version 11.0.1.
📍 영향받는 시스템
minimatch 11.0.1 미만을 사용하는 Node.js 애플리케이션 및 의존성 체인 전반
⚔️ 공격 벡터
공격자가 사용자 입력 등으로 조작된 glob 패턴(예: **/.. 반복)을 전달하여 패턴 컴파일 단계에서 서비스 거부(DoS) 상태를 유발
🛡️ 대응 방법
minimatch를 11.0.1 이상으로 업그레이드하고, 신뢰할 수 없는 입력을 glob 패턴으로 직접 사용하지 않도록 입력 검증 및 패턴 길이 제한을 적용
🔧 검증 코드
출력된 minimatch 버전이 11.0.1 이상이면 조치 완료이며, 11.0.1 미만이면 취약하므로 업그레이드가 필요하고, 여러 버전이 중첩되어 나오면 각 의존성 경로를 모두 확인해야 합니다.
npm ls minimatch 2>/dev/null | grep minimatch