🇰🇷 한글 설명
Node.js의 multer 미들웨어 2.2.0에서 2.3.0 버전 사이에서 발생하는 취약점입니다. 파일 업로드 도중 요청이 중단될 경우, 정리 작업 이후에 완료된 파일 쓰기가 삭제되지 않고 디스크에 남게 됩니다. 공격자가 이를 반복하여 디스크 공간을 모두 소모하게 함으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
파일을 올리다가 중간에 취소해도 찌꺼기 파일이 계속 쌓이는 버그가 있습니다. 나쁜 사용자가 이 작업을 반복하면 서버의 저장 공간이 가득 차서 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
multer is a Node.js middleware for handling multipart/form-data uploads. In versions 2.2.0 through 2.3.0, when a request using disk storage is aborted mid-upload, file writes that complete after multer has already run its abort cleanup are not removed, so each aborted upload can leave an orphaned file on disk. A remote unauthenticated attacker can repeatedly start and abort uploads to accumulate orphaned files and exhaust disk space, causing a denial of service. The issue is fixed in multer 2.4.0, and users should upgrade to 2.4.0 or later.
📍 영향받는 시스템
multer versions 2.2.0 through 2.3.0
⚔️ 공격 벡터
원격의 인증되지 않은 공격자가 업로드 요청을 반복적으로 시작하고 중단하여 디스크 공간을 고갈시킴
🛡️ 대응 방법
multer 버전을 2.4.0 이상으로 업그레이드
🔧 검증 코드
출력된 multer의 버전이 2.2.0에서 2.3.0 사이인지 확인
npm list multer | grep multer