🇰🇷 한글 설명
Shescape는 JavaScript용 간단한 셸 이스케이프 라이브러리입니다. 2.1.11부터 2.1.14 이전 버전과 3.0.1 버전에서는 flagProtection이 활성화된 경우(기본값) src/internal/compose.js의 compose 함수 내 플래그 보호 루프가 플래그 조각을 반복적으로 결합하고 자르면서, escape, escapeAll, quote, quoteAll API 전반에서 입력 크기에 대해 처리 시간이 2차적으로 증가합니다. 이로 인해 악의적인 공격자가 많은 플래그 조각을 포함한 대용량 입력을 제공하면 CPU를 과도하게 소모시켜 서비스 거부 상태를 유발할 수 있습니다. 이 문제는 2.1.14 및 3.0.1 버전에서 수정되었습니다.
💡 쉬운 설명
Shescape라는 프로그램 도구에 입력 처리 속도가 매우 느려지는 결함이 있습니다. 공격자가 아주 큰 데이터를 보내면 서버의 CPU가 과도하게 사용되어 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
Shescape is a simple shell escape library for JavaScript. From 2.1.11 until 2.1.14 and 3.0.1, the flag-protection loop in compose in src/internal/compose.js repeatedly joins and slices flag fragments when flagProtection is enabled, which is the default, making processing quadratic in input size across the escape, escapeAll, quote, and quoteAll APIs. An attacker who can supply a large untrusted input containing many flag fragments can consume CPU and cause denial of service. This issue is fixed in versions 2.1.14 and 3.0.1.
📍 영향받는 시스템
shescape 2.1.11 ~ 2.1.13 및 3.0.0 ~ 3.0.1 미만을 사용하는 JavaScript/Node.js 애플리케이션
⚔️ 공격 벡터
공격자가 플래그 조각이 많이 포함된 대용량 신뢰할 수 없는 입력을 애플리케이션에 전달하여 CPU 자원을 고갈시킴
🛡️ 대응 방법
shescape를 2.1.14 이상 또는 3.0.1 이상으로 업그레이드하고, 신뢰할 수 없는 입력에 대해 입력 길이 제한을 적용
🔧 검증 코드
출력된 shescape 버전이 2.1.14 미만(2.1.x) 또는 3.0.0~3.0.1이면 취약하며, 2.1.14 이상 또는 3.0.1 이상이면 수정된 버전입니다.
npm ls shescape 2>/dev/null