🇰🇷 한글 설명
Hono는 모든 JavaScript 런타임을 지원하는 웹 애플리케이션 프레임워크입니다. 4.12.25 이전 버전의 Body Limit Middleware는 요청의 Content-Length 헤더를 신뢰하여 본문 크기 제한을 판단합니다. AWS Lambda 환경(API Gateway, ALB, VPC Lattice, Lambda@Edge)에서는 클라이언트가 선언한 Content-Length가 실제 페이로드와 일치하지 않을 수 있어, 작은 값을 선언하고 큰 본문을 보내 제한을 우회할 수 있습니다. 이 취약점은 4.12.25에서 수정되었습니다.
💡 쉬운 설명
웹 서버는 요청 본문의 크기가 허용 한도 이내인지 확인할 때 요청에 적힌 크기 정보를 믿습니다. 공격자가 실제보다 작은 크기를 적어 보내면 제한 검사를 피해 큰 데이터를 전송할 수 있습니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, the Body Limit Middleware trusts the request's Content-Length header to decide whether a body is within the limit. On AWS Lambda (API Gateway v1/v2, ALB, VPC Lattice, and Lambda@Edge) the body is delivered fully buffered and the adapter builds the request with the client-declared Content-Length, which need not match the actual payload. A client can declare a tiny Content-Length while sending a much larger body, slipping past the limit. This vulnerability is fixed in 4.12.25.
📍 영향받는 시스템
Hono 4.12.25 미만 버전을 AWS Lambda(API Gateway v1/v2, ALB, VPC Lattice, Lambda@Edge)에서 사용하는 환경
⚔️ 공격 벡터
실제보다 작은 Content-Length 헤더를 선언하고 제한을 초과하는 큰 요청 본문을 전송하여 Body Limit 미들웨어를 우회
🛡️ 대응 방법
Hono를 4.12.25 이상으로 업그레이드 (npm update hono 또는 npm install hono@latest)
🔧 검증 코드
출력된 hono 버전이 4.12.25 이상이면 패치 적용됨, 4.12.25 미만이면 취약한 버전이므로 업그레이드 필요
npm ls hono 2>/dev/null | grep -E 'hono@'