🇰🇷 한글 설명
@hono/node-server의 2.0.0부터 2.0.10 버전 사이에서 WebSocket 업그레이드 요청 시 Sec-WebSocket-Key 헤더가 누락되거나 잘못된 경우, 요청 객체가 메모리에 계속 남아있는 취약점이 존재합니다. 인증되지 않은 공격자가 이 경로를 반복적으로 호출하여 메모리 사용량을 무한정 늘림으로써 서비스를 중단시키는 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 연결 기능을 악용하여 서버의 메모리를 가득 채워 서비스를 멈추게 만드는 공격입니다. 잘못된 요청을 계속 보내 서버가 감당할 수 없게 만드는 방식입니다.
🇺🇸 원문 (English)
@hono/node-server allows running the Hono application on Node.js. From 2.0.0 until 2.0.10, a WebSocket upgrade request to an upgradeWebSocket route with a missing or malformed Sec-WebSocket-Key header causes src/websocket.ts to retain the request's IncomingMessage in waiterMap and leave waitForWebSocket pending because ws.handleUpgrade emits no connection event. The aborted handshake therefore has no cleanup path, allowing an unauthenticated attacker to flood a public route, cause unbounded memory growth, and eventually make the service unavailable. This issue is fixed in version 2.0.10.
📍 영향받는 시스템
@hono/node-server version 2.0.0 to 2.0.10
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 WebSocket 업그레이드 요청을 대량으로 전송하여 메모리 고갈 유도
🛡️ 대응 방법
@hono/node-server를 최신 버전인 2.0.10 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.0.10 미만(2.0.0 ~ 2.0.10)이면 취약한 상태입니다.
npm list @hono/node-server