🇰🇷 한글 설명
elixir-nodejs 3.1.4 미만 버전에서 워커 프로토콜의 레이스 컨디션으로 인해 사용자 간 데이터 유출 또는 정보 노출이 발생할 수 있습니다. 요청과 응답 간의 상관관계 검증이 부족하여, 특정 요청에 대한 응답이 다른 사용자에게 전달되는 'stale response' 취약점이 존재합니다.
💡 쉬운 설명
여러 사람이 동시에 서비스를 이용할 때, 시스템이 엉뚱한 사람에게 다른 사람의 개인정보를 전달할 수 있는 문제입니다. 요청을 보낸 사람과 받은 사람이 일치하는지 확인하지 않아 발생하는 오류입니다.
🇺🇸 원문 (English)
elixir-nodejs provides an Elixir API for calling Node.js functions. A vulnerability in versions prior to 3.1.4 results in Cross-User Data Leakage or Information Disclosure due to a race condition in the worker protocol. The lack of request-response correlation creates a "stale response" vulnerability. Because the worker does not verify which request a response belongs to, it may return the next available data in the buffer to an unrelated caller. In high-throughput environments where the library processes sensitive user data (e.g., PII, authentication tokens, or private records), a timeout or high concurrent load can cause Data A (belonging to User A) to be returned to User B. This may lead to unauthorized information disclosure that is difficult to trace, as the application may not throw an error but instead provide "valid-looking" yet entirely incorrect and private data to the wrong session. The issue is fixed in v3.1.4.
📍 영향받는 시스템
elixir-nodejs versions prior to 3.1.4
⚔️ 공격 벡터
고부하 환경 또는 타임아웃 발생 시 레이스 컨디션을 유도하여 타 사용자의 데이터를 가로챔
🛡️ 대응 방법
elixir-nodejs 라이브러리를 v3.1.4 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 3.1.4 미만인 경우 취약한 상태이며, 3.1.4 이상이어야 안전합니다.
mix exec 'elixir -e "IO.inspect(Application.get_env(:elixir_nodejs, :version))"' 2>/dev/null || echo 'Package not found'