🇰🇷 한글 설명
Axios 1.0.0부터 1.16.0 미만 버전은 프로토타입 오염을 통해 프록시 설정이 악의적으로 변경될 수 있는 취약점이 있습니다. 공격자는 이를 이용해 모든 HTTP 트래픽을 가로채고 인증 정보를 탈취하는 중간자 공격(MITM)을 수행할 수 있습니다.
💡 쉬운 설명
웹 라이브러리 Axios에 보안 구멍이 있어 해커가 네트워크 통신을 도청할 수 있습니다. 이 문제를 해결하려면 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.16.0, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into a full Man-in-the-Middle (MITM) attack — intercepting, reading, and modifying all HTTP traffic including authentication credentials. The HTTP adapter at lib/adapters/http.js:670 reads config.proxy via standard property access, which traverses the prototype chain. Because proxy is not present in Axios defaults, the merged config object has no own proxy property, making it trivially injectable via prototype pollution. Once injected, setProxy() routes all HTTP requests through the attacker's proxy server. This vulnerability is fixed in 1.16.0.
📍 영향받는 시스템
Axios 1.0.0 <= version < 1.16.0
⚔️ 공격 벡터
프로토타입 오염을 통해 config.proxy 속성을 악성 프록시로 변경하여 트래픽 리디렉션
🛡️ 대응 방법
Axios 라이브러리를 1.16.0 이상 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.16.0 미만인 경우 취약한 것으로 판단하며, 1.16.0 이상이면 안전합니다.
npm list axios 2>/dev/null | grep axios
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server