🇰🇷 한글 설명
Deno 2.8.0 미만 버전에서 Node.js 호환성 TCP 경로의 권한 검사 결함이 발견되었습니다. 공격자가 IP 주소의 숫자형 별칭(예: 127.0.0.1을 나타내는 10진수 또는 16진수)을 사용하면, 권한 검사를 우회하여 차단된 목적지에 접속할 수 있습니다.
💡 쉬운 설명
Deno라는 프로그램에서 주소를 확인하는 과정에 허점이 있어, 숫자로 된 가짜 주소를 입력하면 보안 규칙을 피해 금지된 곳에 접속할 수 있는 문제입니다. 이는 마치 이름 대신 암호를 써서 경비원을 통과하는 것과 같습니다.
🇺🇸 원문 (English)
Deno is a JavaScript, TypeScript, and WebAssembly runtime. Prior to 2.8.0, the Node.js compatibility TCP path checked the permission against the original hostname string before resolution and then did not re-check after resolution. A caller could therefore pass a numeric alias of an IP address (for example the decimal integer 2130706433 or the hex form 0x7f000001, both of which resolve to 127.0.0.1) and reach the denied destination through node:net.connect or node:http.request's { host, port } options form. This vulnerability is fixed in 2.8.0.
📍 영향받는 시스템
Deno versions prior to 2.8.0
⚔️ 공격 벡터
node:net.connect 또는 node:http.request의 host 옵션에 IP 주소의 숫자형 별칭(Decimal/Hex)을 전달하여 권한 검사 우회
🛡️ 대응 방법
Deno를 2.8.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.8.0보다 낮으면 취약한 상태이며, 2.8.0 이상이면 안전합니다.
deno --version | grep -E 'deno [0-9]+\.[0-9]+\.[0-9]+'