🇰🇷 한글 설명
Hono는 모든 JavaScript 런타임을 지원하는 웹 애플리케이션 프레임워크입니다. 4.12.25 이전 버전에서는 AWS Lambda의 ALB 단일 헤더 응답 및 VPC Lattice v2 응답이 여러 개의 Set-Cookie 헤더를 쉼표로 구분된 하나의 값으로 합칩니다. 쿠키 속성(예: Expires 날짜)에도 쉼표가 포함되어 있어 클라이언트가 개별 쿠키로 분리하지 못하고 쿠키를 누락하거나 잘못 해석합니다.
💡 쉬운 설명
웹 서버가 여러 개의 쿠키를 보낼 때 하나로 잘못 묶어서 보내는 문제입니다. 그 결과 브라우저가 일부 쿠키를 무시하거나 잘못 읽어 로그인 상태 등이 의도치 않게 깨질 수 있습니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, on AWS Lambda, the ALB single-header response and the VPC Lattice v2 response join multiple Set-Cookie headers into one comma-separated value. Because commas also appear inside cookie attributes (for example Expires dates), clients cannot split the value back into individual cookies and silently drop or misparse them. This vulnerability is fixed in 4.12.25.
📍 영향받는 시스템
AWS Lambda 환경에서 동작하는 Hono 4.12.25 미만 버전
⚔️ 공격 벡터
직접적인 악용보다는 쿠키 누락·오해석으로 인한 세션 오작동이 주요 영향이며, 공격자가 이를 이용해 세션 관련 동작을 교란할 가능성이 있습니다.
🛡️ 대응 방법
Hono를 4.12.25 이상으로 업그레이드합니다 (예: npm install hono@^4.12.25).
🔧 검증 코드
출력된 hono 버전이 4.12.25 미만이면 취약하며, 4.12.25 이상이면 패치된 버전입니다.
npm ls hono 2>/dev/null | grep -E 'hono@'