🇰🇷 한글 설명
@grpc/grpc-js는 C++ 애드온 없이 순수 JavaScript로 gRPC의 핵심 기능을 구현한 라이브러리입니다. 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, 1.14.4 이전 버전에서는 잘못된 HTTP/2 스트림 시작 요청으로 인해 @grpc/grpc-js를 사용하는 서버 프로세스가 충돌할 수 있습니다. 해당 취약점은 위 수정 버전들에서 해결되었습니다.
💡 쉬운 설명
gRPC 통신을 처리하는 Node.js 서버 라이브러리에 결함이 있어, 악의적으로 조작된 요청 하나로 서버 프로그램이 멈출 수 있습니다. 라이브러리를 수정된 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
@grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming HTTP/2 stream initiation can cause a server process created using @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.
📍 영향받는 시스템
@grpc/grpc-js 1.9.16 미만, 1.10.12 미만, 1.11.4 미만, 1.12.7 미만, 1.13.5 미만, 1.14.4 미만 버전을 사용하는 Node.js 기반 gRPC 서버
⚔️ 공격 벡터
공격자가 잘못된 형식의 HTTP/2 스트림 개시 요청을 gRPC 서버에 전송하여 서버 프로세스를 충돌(DoS)시킴
🛡️ 대응 방법
@grpc/grpc-js를 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, 1.14.4 이상의 해당 브랜치 수정 버전으로 업데이트 (npm update @grpc/grpc-js)
🔧 검증 코드
출력된 버전이 해당 브랜치의 수정 버전(예: 1.14.4 이상) 이상이면 패치 완료, 그보다 낮으면 취약하므로 업데이트 필요 (프로젝트 디렉터리에서 실행, 결과가 없으면 미설치)
npm ls @grpc/grpc-js 2>/dev/null | grep grpc-js