🇰🇷 한글 설명
Sync-in Server 2.4.0 미만 버전에서 발생하는 취약점으로, 사용자가 입력한 문자열을 복잡성 검증 없이 정규표현식(RegExp)으로 컴파일합니다. 공격자가 특수하게 조작된 패턴을 입력할 경우 ReDoS(정규표현식 서비스 거부) 공격이 발생하여 Node.js 이벤트 루프가 차단됩니다. 이로 인해 서버가 응답 불능 상태에 빠지며 컨테이너를 재시작하기 전까지 모든 사용자의 서비스 이용이 중단됩니다.
💡 쉬운 설명
악의적인 문자를 입력하여 서버의 계산 능력을 마비시키는 공격입니다. 이 공격을 받으면 서버가 먹통이 되어 아무도 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Sync-in Server is an open-source platform for file storage, sharing, collaboration, and syncing. Prior to version 2.4.0, the sync diff endpoint compiles a user-supplied string into a `RegExp` with no complexity validation. A catastrophic-backtracking pattern (e.g. `^(a+)+b`) blocks the Node.js event loop, making the entire server unresponsive to all users until the container is restarted. Version 2.4.0 patches the issue.
📍 영향받는 시스템
Sync-in Server version < 2.4.0
⚔️ 공격 벡터
sync diff 엔드포인트에 복잡한 정규표현식 패턴(예: ^(a+)+b)을 포함한 문자열을 전송하여 서버 리소스를 고갈시킴
🛡️ 대응 방법
Sync-in Server를 최신 버전인 2.4.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.4.0 미만인지 확인하여 취약 여부를 판단합니다.
npm list sync-in-server 2>/dev/null | grep -E 'sync-in-server@'