🇰🇷 한글 설명
Node.js용 HTTP/1.1 클라이언트인 Undici의 이전 버전에서 압축 해제 체인의 링크 수가 제한되지 않는 취약점이 발견되었습니다. 공격자가 악의적인 서버를 통해 수천 개의 압축 단계를 삽입할 경우, 높은 CPU 사용량과 과도한 메모리 할당을 유발할 수 있습니다.
💡 쉬운 설명
나쁜 서버가 데이터를 아주 복잡하게 압축해서 보내면, 컴퓨터가 이를 풀다가 힘에 부쳐서 멈추거나 느려질 수 있는 문제입니다. 마치 끝없이 이어지는 매듭을 풀려고 하다가 에너지를 다 써버리는 것과 같습니다.
🇺🇸 원문 (English)
Undici is an HTTP/1.1 client for Node.js. Prior to 7.18.0 and 6.23.0, the number of links in the decompression chain is unbounded and the default maxHeaderSize allows a malicious server to insert thousands compression steps leading to high CPU usage and excessive memory allocation. This vulnerability is fixed in 7.18.0 and 6.23.0.
📍 영향받는 시스템
Undici versions prior to 7.18.0 and 6.23.0
⚔️ 공격 벡터
악의적인 서버가 조작된 압축 헤더를 포함한 HTTP 응답을 클라이언트에 전송
🛡️ 대응 방법
Undici를 7.18.0 또는 6.23.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 undici의 버전을 확인하여 7.18.0 또는 6.23.0보다 낮은지 확인