🇰🇷 한글 설명
Nodemailer 9.1.0 미만 버전의 addressparser 구성 요소에서 2차 시간 복잡도 취약점이 발견되었습니다. 공격자가 정교하게 조작된 쉼표 구분 주소 목록을 포함한 이메일을 보내면 Node.js 이벤트 루프를 장시간 차단하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
이메일 주소를 처리하는 과정에서 계산량이 너무 많아지는 문제가 있어, 악의적인 이메일을 받으면 서버가 멈출 수 있습니다. 공격자가 아주 긴 이메일 주소 목록을 보내 서버의 CPU를 100% 사용하게 만들어 서비스를 마비시킵니다.
🇺🇸 원문 (English)
Nodemailer before 9.1.0 contains a quadratic time complexity vulnerability in the addressparser component that allows remote attackers to cause denial of service by supplying a crafted comma-separated address list. Attackers can send a single email with a large number of addresses to block the Node.js event loop for extended periods, consuming 100% CPU and freezing the process.
📍 영향받는 시스템
Nodemailer version < 9.1.0
⚔️ 공격 벡터
조작된 쉼표 구분 주소 목록이 포함된 이메일을 전송하여 발생
🛡️ 대응 방법
Nodemailer를 9.1.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 nodemailer의 버전이 9.1.0 미만인지 확인하십시오.
npm list nodemailer | grep nodemailer