🇰🇷 한글 설명
Axios는 0.32.0 및 1.16.0 버전 이전에서 IPv4 매핑 IPv6 주소를 정규화하지 않는 취약점이 있습니다. NO_PROXY에 IPv4 주소가 설정되어 있어도 IPv4 매핑 IPv6 형식의 URL은 프록시를 통해 우회되어 내부 서비스에 접근할 수 있습니다.
💡 쉬운 설명
Axios 라이브러리가 주소 형식을 제대로 변환하지 않아 보안 설정을 우회할 수 있습니다. 이로 인해 차단되어야 할 내부 주소가 프록시를 통해 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios does not normalise IPv4-mapped IPv6 addresses. When NO_PROXY lists an IPv4 address such as 127.0.0.1 or 169.254.169.254, a request URL using the IPv4-mapped IPv6 form (::ffff:7f00:1, ::ffff:a9fe:a9fe) still routes through the configured proxy. Node.js resolves these addresses to the underlying IPv4 host, so the request reaches the internal service via the proxy rather than being blocked. This vulnerability is fixed in 0.32.0 and 1.16.0.
📍 영향받는 시스템
Axios < 0.32.0, Axios < 1.16.0
⚔️ 공격 벡터
공격자가 IPv4 매핑 IPv6 주소를 사용하여 NO_PROXY 설정을 우회하고 프록시를 통해 내부 네트워크에 접근
🛡️ 대응 방법
Axios를 버전 0.32.0 또는 1.16.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 0.32.0 미만 또는 1.16.0 미만인 경우 취약한 버전입니다.
npm list axios 2>/dev/null | grep -E 'axios@'