🇰🇷 한글 설명
@fastify/busboy 1.0.0부터 3.2.0 버전에서 multipart form-data를 처리할 때 __proto__나 constructor와 같은 프로토타입 상속 속성을 헤더 이름으로 전송하면 TypeError가 발생합니다. 이로 인해 Node.js 프로세스가 예기치 않게 종료되어 인증되지 않은 공격자에 의한 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
파일 업로드 기능을 처리하는 프로그램에 특수한 이름의 데이터를 보내 프로그램이 갑자기 꺼지게 만드는 공격입니다. 이로 인해 웹사이트가 정상적으로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
@fastify/busboy is a multipart form-data parser. In versions 1.0.0 through 3.2.0, an attacker who can submit multipart form-data can crash the parser by sending a part header whose name is a prototype-inherited property such as __proto__ or constructor. The internal header parser stores headers in a plain JavaScript object and assumes each value is an array, so an inherited property name resolves to a truthy non-array value and triggers a TypeError. In the common pipe integration the failure surfaces as an error event, but in direct write or end usage the exception is thrown synchronously and can terminate the Node.js process, causing an unauthenticated denial of service. The issue is fixed in @fastify/busboy 3.2.1, which creates the header object with a null prototype. Users should upgrade to 3.2.1.
📍 영향받는 시스템
@fastify/busboy versions 1.0.0 through 3.2.0
⚔️ 공격 벡터
Multipart form-data의 헤더 이름에 __proto__ 또는 constructor와 같은 프로토타입 상속 속성을 포함하여 전송
🛡️ 대응 방법
@fastify/busboy 버전을 3.2.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.2.1 미만(1.0.0 ~ 3.2.0)인지 확인