🇰🇷 한글 설명
Node.js용 FTP 클라이언트인 basic-ftp의 5.3.0 미만 버전에서 원격 FTP 서버의 무제한 또는 매우 큰 디렉토리 목록 응답으로 인해 메모리가 무한정 증가하여 서비스 거부를 유발합니다. 악의적이거나 손상된 서버가 Client.list() 호출에 대해 끝나지 않는 목록을 전송하면 클라이언트 프로세스가 메모리 고갈로 불안정해지거나 충돌합니다.
💡 쉬운 설명
Node.js FTP 클라이언트가 악성 서버로부터 무한히 긴 파일 목록을 받으면 메모리가 가득 차서 프로그램이 멈춥니다. 버전 5.3.0으로 업그레이드하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
basic-ftp is an FTP client for Node.js. Versions prior to 5.3.0 are vulnerable to denial of service through unbounded memory growth while processing directory listings from a remote FTP server. A malicious or compromised server can send an extremely large or never-ending listing response to `Client.list()`, causing the client process to consume memory until it becomes unstable or crashes. Version 5.3.0 fixes the issue.
📍 영향받는 시스템
basic-ftp npm 패키지 버전 5.3.0 미만을 사용하는 모든 Node.js 애플리케이션
⚔️ 공격 벡터
악의적인 FTP 서버가 Client.list() 요청에 대해 끝나지 않거나 매우 큰 디렉토리 목록 응답 전송
🔧 검증 코드
출력된 버전이 5.3.0 이상이면 안전하고, 그 미만이면 취약함 (예: [email protected]은 취약, [email protected]은 안전)
npm list basic-ftp 2>/dev/null | grep basic-ftp | awk '{print $2}' | head -1