🇰🇷 한글 설명
Node.js용 tar 아카이브 조작 라이브러리인 node-tar의 특정 버전에서 파일 경로를 처리할 때 재귀적 함수 호출 제한을 검사하지 않는 취약점이 발견되었습니다. 공격자가 조작된 긴 경로 헤더를 포함한 tar 파일을 제공할 경우, stack overflow가 발생하여 Node.js 프로세스가 강제 종료될 수 있습니다.
💡 쉬운 설명
압축 파일 안에 아주 길고 복잡한 경로를 인위적으로 만들어 넣으면, 프로그램을 처리하는 과정에서 과부하가 걸려 프로그램이 갑자기 꺼져버리는 문제입니다. 이를 통해 서비스가 중단되는 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.21, node-tar's filesFilter in src/list.ts uses the recursive mapHas helper to walk an archive entry path upward with path.dirname() and no segment cap when tar.t(...) or tar.x(...) receives a non-empty member-selection list. A crafted GNU L or PAX x long-path header with thousands of slash-separated segments reaches this.filter(entry.path, entry) in Parser[CONSUMEHEADER] in src/parse.ts before Unpack[CHECKPATH] applies maxDepth, causing an uncatchable RangeError stack overflow that terminates asynchronous and streaming Node.js consumers. This issue is fixed in version 7.5.21.
📍 영향받는 시스템
node-tar version 7.5.21 미만 버전
⚔️ 공격 벡터
조작된 GNU L 또는 PAX x long-path 헤더를 포함한 악성 tar 파일 업로드/처리
🛡️ 대응 방법
node-tar 라이브러리를 최신 버전인 7.5.21 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 node-tar의 버전이 7.5.21보다 낮은지 확인