🇰🇷 한글 설명
Node.js용 오픈소스 WebSocket 라이브러리인 ws에서 메모리 고갈로 인한 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 매우 작은 크기의 데이터 조각을 대량으로 전송하면, 시스템이 이를 처리하기 위해 과도한 메모리를 할당하게 되어 결국 OOM(Out of Memory) 오류로 프로세스가 종료될 수 있습니다.
💡 쉬운 설명
공격자가 아주 작은 데이터 조각들을 엄청나게 많이 보내서 컴퓨터의 메모리를 순식간에 가득 채우는 공격입니다. 이로 인해 서버가 메모리 부족으로 인해 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
ws is an open source WebSocket client and server for Node.js. All versions from 1.1.0 up to (but not including) 5.2.5, from 6.0.0 up to 6.2.4, from 7.0.0 up to 7.5.11, and from 8.0.0 up to 8.21.0 are affected by a memory exhaustion DoS vulnerability. A peer can send a high volume of exceptionally small fragments and data chunks, with modest network traffic, to force the remote peer into allocating and holding structural wrappers that consume far more memory than the default documented message-size limit, leading to process termination due to OOM. This issue has been fixed in versions 5.2.5, 6.2.4, 7.5.11, and 8.21.0.
📍 영향받는 시스템
ws versions: 1.1.0-5.2.4, 6.0.0-6.2.3, 7.0.0-7.5.10, 8.0.0-8.20.0
⚔️ 공격 벡터
매우 작은 크기의 WebSocket 프래그먼트와 데이터 청크를 대량으로 전송하여 메모리 할당 유도
🛡️ 대응 방법
ws 라이브러리를 최신 보안 패치 버전(5.2.5, 6.2.4, 7.5.11, 8.21.0 이상)으로 업데이트
🔧 검증 코드
출력된 ws의 버전을 확인하여 취약한 버전 범위에 포함되는지 체크