🇰🇷 한글 설명
@isaacs/brace-expansion 5.0.1 이전 버전에서 반복된 숫자 브레이스 범위 패턴 입력으로 인한 지수적 확장으로 DoS 취약점이 존재합니다. 공격자가 특정 패턴을 제공하면 라이브러리가 모든 조합을 동기적으로 생성하려고 시도하여 CPU와 메모리를 과도하게 소비하고 Node.js 프로세스를 크래시시킬 수 있습니다.
💡 쉬운 설명
@isaacs/brace-expansion 라이브러리에서 특정 텍스트 패턴이 입력될 때 컴퓨터 자원을 무한정 소비하게 되는 문제입니다. 이를 통해 공격자가 프로그램을 의도적으로 충돌시킬 수 있습니다.
🇺🇸 원문 (English)
@isaacs/brace-expansion is a hybrid CJS/ESM TypeScript fork of brace-expansion. Prior to version 5.0.1, @isaacs/brace-expansion is vulnerable to a denial of service (DoS) issue caused by unbounded brace range expansion. When an attacker provides a pattern containing repeated numeric brace ranges, the library attempts to eagerly generate every possible combination synchronously. Because the expansion grows exponentially, even a small input can consume excessive CPU and memory and may crash the Node.js process. This issue has been patched in version 5.0.1.
📍 영향받는 시스템
@isaacs/brace-expansion < 5.0.1
⚔️ 공격 벡터
반복된 숫자 범위를 포함한 브레이스 패턴을 입력으로 제공하여 지수적 확장 및 리소스 고갈 유발
🛡️ 대응 방법
@isaacs/brace-expansion을 5.0.1 이상으로 업그레이드
🔧 검증 코드
5.0.1 미만의 버전이 설치되어 있으면 취약하며, 5.0.1 이상이면 패치된 버전입니다.
npm list @isaacs/brace-expansion 2>/dev/null | grep -E '@isaacs/brace-expansion@[0-4]\.|@isaacs/brace-expansion@5\.0\.[0]'