🇰🇷 한글 설명
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.1 이전 버전에서는 단일 입력 청크 내의 TLS 레코드를 재귀적으로 처리하여 레코드마다 JavaScript 스택 프레임이 소모됩니다. 원격 피어가 작은 레코드를 대량으로 전송하면 콜 스택이 고갈되어 처리되지 않은 예외와 서비스 거부가 발생할 수 있습니다.
💡 쉬운 설명
인터넷으로 주고받는 암호화 통신을 처리하는 프로그램에 결함이 있습니다. 공격자가 작은 데이터 조각을 대량으로 보내면 프로그램이 멈추거나 비정상 종료될 수 있습니다.
🇺🇸 원문 (English)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used forge.tls.createConnection(), TLS record processing, process() to process the relevant input or security decision. node-forge processed received TLS records recursively, consuming one JavaScript stack frame per record in a single input chunk. A remote peer could send thousands of small records together and exhaust the call stack, causing an uncaught exception and denial of service. This issue is fixed in version 1.4.1.
📍 영향받는 시스템
node-forge 1.4.1 미만 버전을 사용하는 Node.js 기반 애플리케이션 및 서비스
⚔️ 공격 벡터
원격 공격자가 TLS 연결을 맺은 후 한 번의 입력으로 수천 개의 작은 TLS 레코드를 전송하여 콜 스택을 고갈시킴
🛡️ 대응 방법
node-forge를 1.4.1 이상 버전으로 업데이트하고 의존성 트리의 간접 의존성까지 함께 갱신
🔧 검증 코드
출력된 node-forge 버전이 1.4.1 미만이면 취약하므로 업데이트가 필요하고, 1.4.1 이상이면 조치가 완료된 것입니다.
npm ls node-forge 2>/dev/null | grep -E 'node-forge@'