🇰🇷 한글 설명
Axios의 no_proxy 호스트명 정규화 우회 취약점입니다. 1.15.1 이전 버전에서 no_proxy=localhost 설정 시 127.0.0.1과 [::1] 주소가 프록시를 거치게 되는 문제가 있습니다. shouldBypassProxy() 함수가 단순 문자열 매칭만 수행하여 IP 주소 별칭을 해석하지 못합니다.
💡 쉬운 설명
Axios 라이브러리에서 프록시 우회 설정이 제대로 작동하지 않는 문제입니다. 로컬호스트를 프록시 제외 대상으로 설정해도 특정 IP 주소는 여전히 프록시를 거칩니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, he fix for no_proxy hostname normalization bypass is incomplete. When no_proxy=localhost is set, requests to 127.0.0.1 and [::1] still route through the proxy instead of bypassing it. The shouldBypassProxy() function does pure string matching — it does not resolve IP aliases or loopback equivalents. This vulnerability is fixed in 1.15.1 and 0.31.1.
📍 영향받는 시스템
Axios < 1.15.1 및 < 0.31.1
⚔️ 공격 벡터
공격자가 no_proxy 설정을 우회하여 민감한 요청을 프록시를 통해 가로챌 수 있습니다.
🛡️ 대응 방법
Axios를 1.15.1 이상 또는 0.31.1 이상으로 업그레이드하세요.
🔧 검증 코드
출력된 버전이 1.15.1 이상(또는 0.31.1 이상)이면 패치됨, 그 이하면 취약함
npm ls axios 2>/dev/null | grep axios | head -1