🇰🇷 한글 설명
Fastify 웹 프레임워크에서 요청 본문 검증 취약점이 존재하여 공격자가 요청 본문을 원래의 콘텐츠 타입으로 처리하도록 서버를 속일 수 있는 문제
💡 쉬운 설명
Fastify 웹 프레임워크에서 요청 본문 검증을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점은 공격자가 콘텐츠 타입 헤더에 탭 문자를 추가하여 본문 검증을 우회할 수 있습니다. 이는 Fastify 버전 5.7.2 이전에서 발생합니다.
🇺🇸 원문 (English)
Fastify is a fast and low overhead web framework, for Node.js. Prior to version 5.7.2, a validation bypass vulnerability exists in Fastify where request body validation schemas specified by Content-Type can be completely circumvented. By appending a tab character (\t) followed by arbitrary content to the Content-Type header, attackers can bypass body validation while the server still processes the body as the original content type. This issue has been patched in version 5.7.2.
📍 영향받는 시스템
Fastify 버전 5.7.2 이전
⚔️ 공격 벡터
콘텐츠 타입 헤더에 탭 문자를 추가하여 본문 검증을 우회
🛡️ 대응 방법
Fastify를 버전 5.7.2 이상으로 업데이트하세요
🔧 검증 코드
Python을 사용하여 패키지 버전을 확인합니다. Python이 설치되어 있어야 하며, Fastify가 pip을 통해 설치된 경우에만 작동합니다. 코드를 실행하면 Fastify의 버전을 확인하고 취약점 여부를 출력합니다.
python -c "import pkg_resources; print('Fastify' in [d.project_name for d in pkg_resources.working_set] and pkg_resources.get_distribution('fastify').version < '5.7.2')" && echo {"result": "취약", "reason": "Fastify 버전이 5.7.2 미만"} || echo {"result": "양호", "reason": "Fastify 버전이 5.7.2 이상"}