🇰🇷 한글 설명
node-tar 라이브러리 7.5.17 미만 버전에서 PAX 경로 및 링크 경로 레코드의 NUL 바이트를 제거하지 않는 취약점이 발견되었습니다. 공격자가 조작된 아카이브를 사용하면 fs.lstat 또는 fs.open 함수에 특정 값이 전달되어 처리되지 않은 예외와 함께 프로세스가 종료될 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 특수 문자가 포함된 가짜 경로 정보를 넣으면 프로그램이 갑자기 꺼질 수 있는 문제입니다. 악의적으로 만들어진 압축 파일을 열기만 해도 서비스가 중단될 위험이 있습니다.
🇺🇸 원문 (English)
node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.17, node-tar does not strip NUL bytes from PAX path and linkpath records in src/pax.ts, allowing a crafted archive with values to reach fs.lstat or fs.open and terminate the process with an uncaught exception. This issue is fixed in version 7.5.17.
📍 영향받는 시스템
node-tar versions prior to 7.5.17
⚔️ 공격 벡터
NUL 바이트가 포함된 조작된 tar 아카이브 파일을 업로드하거나 처리하도록 유도
🛡️ 대응 방법
node-tar 라이브러리를 7.5.17 버전 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 node-tar의 버전을 확인하여 7.5.17 미만인지 체크