🇰🇷 한글 설명
Apollo Server의 특정 버전에서 startStandaloneServer를 기본 설정으로 사용할 경우, 특수하게 제작된 인코딩을 가진 요청 본문을 통해 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점은 @apollo/server를 직접 사용하는 환경에서만 발생하며, 통합 패키지를 통한 사용에는 영향을 미치지 않습니다.
💡 쉬운 설명
특이한 글자 형식을 담은 데이터를 서버에 보내면 서버가 이를 처리하다가 멈춰버릴 수 있는 문제입니다. 이로 인해 정상적인 사용자들이 서비스를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
Apollo Server is an open-source, spec-compliant GraphQL server that's compatible with any GraphQL client, including Apollo Client. In versions from 2.0.0 to 3.13.0, 4.2.0 to before 4.13.0, and 5.0.0 to before 5.4.0, the default configuration of startStandaloneServer from @apollo/server/standalone is vulnerable to denial of service (DoS) attacks through specially crafted request bodies with exotic character set encodings. This issue does not affect users that use @apollo/server as a dependency for integration packages, like @as-integrations/express5 or @as-integrations/next, only direct usage of startStandaloneServer.
📍 영향받는 시스템
Apollo Server 2.0.0~3.13.0, 4.2.0~4.13.0 미만, 5.0.0~5.4.0 미만 (startStandaloneServer 직접 사용 시)
⚔️ 공격 벡터
특수하게 조작된 문자 집합 인코딩을 포함한 HTTP 요청 본문 전송
🛡️ 대응 방법
Apollo Server를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 @apollo/server의 버전을 확인하여 취약 범위에 포함되는지 대조합니다.