🇰🇷 한글 설명
undici의 WebSocket 클라이언트에서 permessage-deflate 크기 제한을 처리할 때 내부 zlib inflate 스트림의 에러 리스너를 모두 제거하는 결함이 있습니다. 공격자가 압축된 페이로드를 통해 제한을 초과하고 잘못된 DEFLATE 바이트를 보내면, 처리되지 않은 에러가 발생하여 Node.js 프로세스가 즉시 종료됩니다.
💡 쉬운 설명
특수하게 조작된 압축 데이터를 보내면 웹 서버 프로그램이 예기치 않게 갑자기 꺼져버리는 문제입니다. 공격자가 아주 적은 양의 데이터만 보내도 서버 전체를 중단시킬 수 있어 위험합니다.
🇺🇸 원문 (English)
undici bundles a WebSocket client whose permessage-deflate size-limit cleanup removes all listeners from the internal zlib inflate stream, including its error listener, while that stream can still emit. When a remote peer sends a compressed payload that crosses the built-in 128 MiB decompressed-payload limit and then contains a malformed DEFLATE byte, the inflate stream emits a data error with no listener attached, which Node.js treats as a fatal unhandled error and terminates the entire process. Exploitation is remote and unauthenticated, requires no application mistake, and is asymmetric, since roughly 130 KB on the wire expands past the limit and crashes the process, and reconnecting can repeat the crash. This affects undici versions from 6.25.0 up to 6.28.1, from 7.28.0 up to 7.29.1, and from 8.1.0 up to 8.10.2. Users should upgrade to undici 6.28.1, 7.29.1, or 8.10.2.
📍 영향받는 시스템
undici versions: 6.25.0-6.28.1, 7.28.0-7.29.1, 8.1.0-8.10.2
⚔️ 공격 벡터
원격에서 인증 없이 조작된 압축 페이로드를 전송하여 프로세스 종료 유도 (Remote, Unauthenticated)
🛡️ 대응 방법
undici 버전을 6.28.1, 7.29.1 또는 8.10.2 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 undici의 버전을 확인하여 취약한 버전 범위에 포함되는지 체크합니다.
npm list undici | grep undici