🇰🇷 한글 설명
Hono 웹 프레임워크의 ipRestriction() 함수가 IPv4-mapped IPv6 주소(예: ::ffff:127.0.0.1)를 정규화하지 않아 IPv4 허용/거부 규칙이 제대로 적용되지 않는 문제입니다. Node.js 듀얼 스택 환경에서 IP 제한을 우회할 수 있으며, 4.12.12에서 수정되었습니다.
💡 쉬운 설명
Hono 프레임워크의 IP 접근 제어가 IPv6 형식으로 위장한 IPv4 주소를 인식하지 못합니다. 이로 인해 차단되어야 할 사용자가 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.12, ipRestriction() does not canonicalize IPv4-mapped IPv6 client addresses (e.g. ::ffff:127.0.0.1) before applying IPv4 allow or deny rules. In environments such as Node.js dual-stack, this can cause IPv4 rules to fail to match, leading to unintended authorization behavior. This vulnerability is fixed in 4.12.12.
📍 영향받는 시스템
Hono < 4.12.12 (ipRestriction() 미들웨어 사용 시스템)
⚔️ 공격 벡터
IPv6 형식의 IPv4 주소(::ffff:x.x.x.x)를 사용하여 IP 화이트리스트/블랙리스트 우회
🛡️ 대응 방법
Hono를 4.12.12 이상으로 업그레이드
🔧 검증 코드
Hono 버전이 4.12.12 이상인지 확인하여 패치 적용 여부 판단
npm list hono 2>/dev/null | grep -E 'hono@[0-9]+\.[0-9]+\.[0-9]+'