🇰🇷 한글 설명
Hub의 0.2.16 미만 버전에서 발생하는 취약점으로, 인증되지 않은 WebSocket 연결 시 생성된 타이머와 RPC 요청이 소켓 종료 후에도 해제되지 않습니다. 공격자가 반복적으로 연결을 시도할 경우 타이머와 힙 메모리가 무한히 증가하여 CPU와 메모리를 고갈시키고 서버를 중단시킬 수 있습니다.
💡 쉬운 설명
서버에 가짜 연결을 계속 만들었다가 끊는 방식으로 서버의 자원을 모두 써버리게 만드는 공격입니다. 이로 인해 서버가 느려지거나 완전히 멈출 수 있습니다.
🇺🇸 원문 (English)
Hub is a Node.js WebSocket server and client with added features. Prior to 0.2.16, every incoming unauthenticated WebSocket connection triggers loadDefaultConnectionEventListeners to call requestClientId, which calls rpc.send for the get-client-id action and pushes a request into RPC.requests. The RPC.waitForReply function starts a setInterval polling loop every 10 milliseconds that is cleared only after a matching reply; if the client remains silent and closes, the timer and pending request stay allocated because the socket close path does not cancel them. Repeated connections therefore cause unbounded timers and heap entries, exhausting CPU and memory and making the server unavailable. This issue is fixed in version 0.2.16.
📍 영향받는 시스템
Hub Node.js WebSocket server/client (version < 0.2.16)
⚔️ 공격 벡터
인증되지 않은 상태에서 반복적인 WebSocket 연결 및 즉시 종료 시도 (DoS)
🛡️ 대응 방법
Hub 버전을 0.2.16 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 버전이 나타나면 취약한 버전이 설치되어 있는 상태입니다.
npm list hub | grep -E 'hub@0\.[0-2]\.(0|1|2|3|4|5|6|7|8|9|1[0-5])'