🇰🇷 한글 설명
Deno의 Node.js TLS 호환성 계층에서 연결 재시도 시 애플리케이션 데이터가 평문으로 전송될 수 있는 결함이 발견되었습니다. autoSelectFamily가 활성화된 상태에서 첫 번째 주소 체계 시도가 실패하면, 재초기화된 소켓이 TLS 업그레이드를 수행하지 못해 데이터가 암호화되지 않은 채 네트워크로 노출됩니다.
💡 쉬운 설명
보안 연결(TLS)을 시도하다가 오류가 발생했을 때, 시스템이 실수로 암호화되지 않은 일반 상태로 데이터를 보내는 문제입니다. 공격자가 네트워크 연결을 의도적으로 방해하면 사용자가 주고받는 민감한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Deno is a JavaScript, TypeScript, and WebAssembly runtime. From 2.0.0 until 2.7.8, a flaw in Deno's Node.js tls compatibility layer could cause a TLS client to transmit application data in plaintext after a connection retry. When `autoSelectFamily was enabled and the first address-family attempt failed, the socket reinitialization path reused a stale TLS upgrade hook that was bound to the original, failed handle. As a result, the replacement TCP connection was never upgraded to TLS, and any data the application wrote before the secureConnect event travelled over the network unencrypted. A network attacker positioned to cause the initial connection attempt to fail (for example, by dropping IPv6 traffic on a dual-stack host) could deterministically trigger the fallback path and observe or tamper with traffic that the application believed was TLS-protected. This vulnerability is fixed in 2.7.8.
📍 영향받는 시스템
Deno 2.0.0 ~ 2.7.8 버전
⚔️ 공격 벡터
네트워크 공격자가 IPv6 트래픽을 차단하는 등의 방식으로 초기 연결 실패를 유도하여 평문 데이터 전송을 유도함
🛡️ 대응 방법
Deno를 최신 보안 패치가 적용된 2.7.8 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.7.8 미만(예: 2.7.7 이하)이면 취약한 상태입니다.
deno --version | grep -E 'deno [0-9]+\.[0-9]+\.[0-9]+'