티스토리 뷰
multer가 뭘까?
Node.js 웹 프레임워크인 엑스프레스JS(ExpressJS)에서 사용되는 파일 업로드 미들웨어.
취약점의 대상
multer 라이브러리 2.1.0 미만 버전을 사용하는 모든 서비스
구체적으로 어떤 일이 일어나는걸까? 공격이 어떻게 발생하는걸까?
정상적으로 작동하면 파일 업로드 처리가 끝나거나 오류가 발생했을 때 임시 생성된 파일이 디스크에서 즉각 삭제되지만
multipart/form-data 처리 중 오류가 발생, 생성된 임시 파일이 삭제되지 않고 디스크에 남는 로직 오류를 악용.
다시말해 Cleanup 로직의 부재에서 발생.
공격자가 조작된 요청(Malformed requests)을 보내면 서버에 '고아 파일(Orphaned files)'이 지속적으로 누적,
과도해져서 시스템 마비 발생
얼마나 위험할까?
CVSS 8.7점 (고위험)
적은 양의 악성 요청만으로 서버의 디스크 자원을 고갈시켜 서비스 거부(DoS)를 유발할 수 있음
어떤 패치로 취약점을 해결 했을까?
에러 발생 여부를 확인하는 로직(errorOccured)을 추가해 오류를 감지하면 즉각 임시 파일을 삭제하고 스트림이 중단되도록 함.
서비스 이용자는 어떻게 대응 해야할까?
취약점이 해결된 2.1.0 이상 버전으로 업데이트하기!
https://explore.alas.aws.amazon.com/CVE-2026-3304.html
CVE-2026-3304
Amazon Linux 2 - Core thunderbird Not Affected
explore.alas.aws.amazon.com
https://nvd.nist.gov/vuln/detail/CVE-2026-3304
NVD - CVE-2026-3304
References to Advisories, Solutions, and Tools By selecting these links, you will be leaving NIST webspace. We have provided these links to other web sites because they may have information that would be of interest to you. No inferences should be drawn on
nvd.nist.gov
https://v.daum.net/v/20260306155637558?f=p
ExpressJS 생태계 강타한 ‘multer’ 취약점... 서버 자원 고갈 DoS 주의보
Node.js 미들웨어 ‘multer’에서 CVSS 8.7 고위험도 취약점(CVE-2026-3304) 발견 대규모 네트워크 트래픽 없이 소량의 악성 요청만으로도 시스템 마비 크리밋 김태범 리드 “보안 패치 주기 앞당기는 예
v.daum.net
'보안전문가로 취업할래요 > 취약점과 보안뉴스' 카테고리의 다른 글
| EU, 중국 및 이란 기업·개인 대상 사이버 제재 부과 (0) | 2026.03.23 |
|---|---|
| 가짜 GitHub 저장소를 통해 윈도우 사용자 공격하는 보립트그랩(BoryptGrab) (0) | 2026.03.15 |
| CVE-2025-59536 클로드 코드 원격 실행 가능 취약점 (0) | 2026.02.26 |
| Shannon(섀넌), 직접 공격해서 증거를 챙겨오는 자율형 AI 침투 테스터 (0) | 2026.02.18 |
| CVE-2026-25881 샌드박스JS 보호막 탈옥 취약점 (0) | 2026.02.17 |