🇰🇷 한글 설명
node-tar 라이브러리에서 압축 해제 및 파싱 과정 중 압축 해제된 데이터의 총량, 엔트리 수 또는 압축률에 대한 상한선을 강제하지 않는 취약점이 발견되었습니다. 이로 인해 정교하게 제작된 gzip bomb 공격을 통해 디스크 공간과 CPU 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
압축 파일의 크기를 조작하여 컴퓨터의 저장 공간과 처리 능력을 한꺼번에 바닥나게 만드는 공격입니다. 아주 작은 파일이 압축을 풀었을 때 엄청나게 커지도록 설계되어 시스템을 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.19, node-tar does not enforce hard upper bounds on total decompressed data, entry counts, or decompression ratio in extraction and parsing paths such as src/extract.ts, allowing a small crafted gzip bomb to exhaust disk space and CPU. This issue is fixed in version 7.5.19.
📍 영향받는 시스템
node-tar 버전 7.5.19 미만
⚔️ 공격 벡터
악의적으로 제작된 gzip bomb 압축 파일을 시스템에 업로드하거나 처리하도록 유도
🛡️ 대응 방법
node-tar 라이브러리를 최신 버전인 7.5.19 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 node-tar의 버전을 확인하여 7.5.19 미만인지 체크