🇰🇷 한글 설명
uri-js 4.4.1 이하 버전의 removeDotSegments 함수에서 유니코드 줄 바꿈 또는 단락 구분자로 시작하는 경로 세그먼트 처리 시 무한 루프가 발생하는 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 Node.js 이벤트 루프가 차단되어 힙 메모리가 고갈될 때까지 시스템이 중단될 수 있습니다.
💡 쉬운 설명
특정한 특수 문자가 포함된 주소를 처리할 때 프로그램이 끝없이 계산을 반복하여 멈춰버리는 문제입니다. 이로 인해 웹 서버가 응답하지 않거나 시스템이 다운될 수 있습니다.
🇺🇸 원문 (English)
uri-js through 4.4.1 contains a denial of service vulnerability in the removeDotSegments function that loops infinitely when a path segment begins with Unicode line or paragraph separators. Attackers can trigger this by calling removeDotSegments directly or through normalize/resolve functions with IRI handling enabled, causing the Node.js event loop to block indefinitely until heap exhaustion.
📍 영향받는 시스템
uri-js 4.4.1 이하 모든 버전
⚔️ 공격 벡터
유니코드 줄 바꿈/단락 구분자가 포함된 경로를 normalize 또는 resolve 함수를 통해 전달
🛡️ 대응 방법
uri-js를 4.4.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 uri-js의 버전이 4.4.1 이하인지 확인