🇰🇷 한글 설명
Node.js용 ws 라이브러리의 websocket.close() 함수에서 TypedArray를 이유 인자로 전달할 때 초기화되지 않은 메모리가 공개되는 취약점입니다. 8.20.1 이전 버전이 영향을 받으며, 버전 8.20.1에서 수정되었습니다.
💡 쉬운 설명
WebSocket 라이브러리에서 연결을 종료할 때 특정 형식의 데이터를 사용하면 컴퓨터의 숨겨진 정보가 유출될 수 있습니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
ws is an open source WebSocket client and server for Node.js. Prior to 8.20.1, the websocket.close() implementation is vulnerable to uninitialized memory disclosure when a TypedArray is passed as the reason argument. This vulnerability is fixed in 8.20.1.
📍 영향받는 시스템
Node.js용 ws 라이브러리 8.20.1 이전 모든 버전
⚔️ 공격 벡터
TypedArray 객체를 websocket.close()의 reason 매개변수로 전달하여 초기화되지 않은 메모리 콘텐츠 공개 유발
🛡️ 대응 방법
ws 라이브러리를 8.20.1 이상으로 즉시 업그레이드
🔧 검증 코드
명령어 결과에 취약한 버전(8.20.1 미만)이 표시되면 업그레이드 필요, 표시되지 않으면 안전한 상태
npm list ws 2>/dev/null | grep -E 'ws@[0-7]\.|ws@8\.(0\.|1[0-9]\.|2[0-0])'