🇰🇷 한글 설명
NestJS의 11.1.15 이하 버전에서 @nestjs/platform-fastify를 사용하는 GET 미들웨어가 우회될 수 있는 취약점이 발견되었습니다. Fastify가 HEAD 요청을 GET 핸들러로 자동 리다이렉트하는 과정에서 미들웨어가 실행되지 않고 핸들러만 실행되는 문제가 발생합니다. 이 문제는 11.1.16 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 보안 검사(미들웨어)를 거치지 않고 특정 기능을 몰래 실행할 수 있는 허점이 있습니다. 공격자가 HEAD라는 특수한 요청을 보내면 보안 검사를 건너뛰고 서버의 명령을 수행할 수 있습니다.
🇺🇸 원문 (English)
Nest is a framework for building scalable Node.js server-side applications. In versions 11.1.15 and below, a NestJS application using @nestjs/platform-fastify GET middleware can be bypassed because Fastify automatically redirects HEAD requests to the corresponding GET handlers (if they exist). As a result: middleware will be completely skipped, the HTTP response won't include a body (since the response is truncated when redirecting a HEAD request to a GET handler), and the actual handler will still be executed. This issue is fixed in version 11.1.16.
📍 영향받는 시스템
NestJS @nestjs/platform-fastify 11.1.15 및 그 이하 버전
⚔️ 공격 벡터
GET 핸들러가 존재하는 경로에 대해 HEAD HTTP 요청을 전송하여 미들웨어 실행을 우회함
🛡️ 대응 방법
NestJS 버전을 11.1.16 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과의 버전이 11.1.15 이하인지 확인하십시오.
npm list @nestjs/platform-fastify