🇰🇷 한글 설명
node-tar 라이브러리 7.5.18 미만 버전에서 PAX 경로 및 링크 경로 값이 숫자로만 구성된 경우 이를 JavaScript 숫자로 강제 변환하는 취약점이 있습니다. 이로 인해 경로 처리 과정에서 TypeError가 발생하여 애플리케이션이 예기치 않게 종료될 수 있습니다.
💡 쉬운 설명
압축 파일을 다루는 도구가 파일 이름이 숫자로 되어 있을 때 이를 숫자로 잘못 인식하여 오류를 일으킵니다. 이 오류로 인해 프로그램이 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, node-tar coerces all-digit PAX path and linkpath values in src/pax.ts to JavaScript numbers, causing downstream path handling such as normalizeWindowsPath(entry.path).split('/') to throw an uncaught TypeError. This issue is fixed in version 7.5.18.
📍 영향받는 시스템
node-tar versions prior to 7.5.18
⚔️ 공격 벡터
숫자로만 구성된 경로를 포함한 악의적인 tar 아카이브 파일을 처리할 때 발생
🛡️ 대응 방법
node-tar 버전을 7.5.18 이상으로 업데이트
🔧 검증 코드
출력된 node-tar의 버전이 7.5.18 미만인지 확인