🇰🇷 한글 설명
linkify-it는 완전한 유니코드 지원을 제공하는 링크 인식 라이브러리입니다. 5.0.1 이전 버전에서는 LinkifyIt.prototype.match가 퍼지 링크나 이메일을 많이 포함한 입력에 대해 O(N²) 알고리즘 복잡도를 보여, 많은 입력 처리 시 서비스 거부(DoS)가 발생할 수 있습니다. 이 문제는 5.0.1 버전에서 수정되었습니다.
💡 쉬운 설명
링크를 찾아주는 인기 라이브러리에 결함이 있어, 많은 가짜 링크가 포함된 텍스트를 처리하면 서버가 매우 느려지거나 멈출 수 있습니다. 해당 버전을 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
linkify-it is a links recognition library with full Unicode support. Prior to 5.0.1, LinkifyIt.prototype.match, the package's primary public API, has O(N²) algorithmic complexity for inputs containing many fuzzy links or emails because the JavaScript-level scan loop re-slices input and re-runs unanchored regex searches on progressively shorter tails. Any service that synchronously renders untrusted Markdown with linkify:true on a request hot path can inherit a worker-process denial of service triggerable by a tens-of-KB request body. This issue is fixed in version 5.0.1.
📍 영향받는 시스템
linkify-it 5.0.1 미만 버전을 사용하며 linkify:true 옵션으로 신뢰할 수 없는 Markdown을 동기적으로 렌더링하는 Node.js 기반 서비스
⚔️ 공격 벡터
수십 KB 크기의 특수하게 조작된 Markdown 요청 본문을 전송해 워커 프로세스의 CPU를 고갈시켜 서비스 거부 상태를 유발
🛡️ 대응 방법
linkify-it 패키지를 5.0.1 이상으로 업데이트하거나, 신뢰할 수 없는 입력에 대해 입력 길이 제한 및 요청 속도 제한을 적용
🔧 검증 코드
출력된 버전이 5.0.1 미만이면 취약하므로 업데이트가 필요하고, 5.0.1 이상이면 조치가 완료된 상태입니다.
npm ls linkify-it 2>/dev/null | grep linkify-it