🇰🇷 한글 설명
Node.js 라이브러리인 multiparty의 2.1.0 버전부터 4.3.1 미만 버전에서 multipart 파트의 헤더 누적 시 메모리 사용량에 제한을 두지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 매우 큰 헤더를 포함한 요청을 보내면 서버의 메모리가 고갈되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
서버가 데이터를 읽을 때 헤더라는 정보의 크기를 제한하지 않아 발생하는 문제입니다. 공격자가 아주 긴 정보를 보내면 서버의 메모리가 꽉 차서 서버가 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
multiparty is a Node.js library for parsing multipart/form-data request bodies. In versions from 2.1.0 up to but not including 4.3.1, the parser does not bound the amount of memory used while accumulating the headers of a single multipart part. An unauthenticated attacker can send a single request whose part carries a very large volume of header bytes, forcing the parser to buffer all of them and exhausting the process memory, which crashes the server. This is a denial of service with no confidentiality or integrity impact. The issue is fixed in multiparty 4.3.1, which caps the size of the accumulated part headers. Users should upgrade to multiparty 4.3.1 or later.
📍 영향받는 시스템
multiparty library versions 2.1.0 up to (but not including) 4.3.1
⚔️ 공격 벡터
인증되지 않은 공격자가 대량의 헤더 바이트를 포함한 단일 multipart/form-data 요청을 전송
🛡️ 대응 방법
multiparty 라이브러리를 4.3.1 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 4.3.1 미만(예: 4.3.0, 3.0.0 등)이면 취약한 상태입니다.
npm list multiparty | grep multiparty