CVE 데이터베이스CVE-2026-117531

최종 갱신 2026-11-02English Advisory →

CVE-2026-1175315.9/MEDIUMCWE-400

@fastify/multipart 파일 업로드 스트림 처리 미흡으로 인한 서비스 거부(DoS) 취약점 (CVE-2026-117531)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

fastify

대상 컴포넌트 / 패키지

@fastify/multipart

권고문 발행일

2026-11-02

CVSS v3.1

5.9

MEDIUM

30일 악용확률

0.3%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

@fastify/multipart 5.3.0 이상 10.1.6 이하 버전을 사용하는 Fastify 웹 애플리케이션

파급 효과

비정상적인 멀티파트 요청을 통해 서버 연결 및 리소스를 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다

권장 조치

@fastify/multipart 패키지를 최신 보안 패치 버전인 10.1.7 이상으로 즉시 업데이트하십시오

영향받는 제품 및 버전 범위

@fastify/multipart 버전 5.3.0부터 10.1.6까지의 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

본 취약점에 대한 유일한 해결책은 패키지를 보안 패치가 적용된 최신 버전(10.1.7 이상)으로 업그레이드하는 것입니다. 프로젝트 환경에 맞춰 아래 명령어를 실행하십시오.

bash

# npm을 사용하는 경우
npm install @fastify/multipart@10.1.7 --save

# yarn을 사용하는 경우
yarn upgrade @fastify/multipart@10.1.7

# pnpm을 사용하는 경우
pnpm update @fastify/multipart@10.1.7

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

공식 보안 권고에 따르면 업그레이드 외에 별도의 임시 완화책(Workaround)은 존재하지 않습니다. 패치 적용 전까지 임시로 인프라 전면의 리버스 프록시(Nginx 등) 또는 WAF에서 비정상적인 멀티파트 요청 및 타임아웃 설정을 강화하여 위험을 최소화해야 합니다.

nginx

# Nginx 설정 예시: 클라이언트 바디 타임아웃 및 연결 제한 설정
http {
    # 클라이언트가 바디를 전송하는 과정에서 대기하는 시간 제한 (기본값 60s에서 단축)
    client_body_timeout 10s;
    client_header_timeout 10s;
    keepalive_timeout 15s;

    # 단일 IP당 동시 연결 수 제한
    limit_conn_zone $binary_remote_addr zone=addr_limit:10m;
    
    server {
        location /upload {
            limit_conn addr_limit 5;
            proxy_pass http://fastify_backend;
        }
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 프로젝트 내에 취약한 버전의 @fastify/multipart가 설치되어 있는지 확인하고, 서버 로그에서 비정상적으로 길게 유지되는 연결이나 타임아웃 에러를 점검하십시오.

bash

# 프로젝트 내 설치된 @fastify/multipart 버전 확인
npm list @fastify/multipart

# Node.js 애플리케이션에서 활성 소켓 및 타임아웃 모니터링 예시 코드
const fastify = require('fastify')();

fastify.addHook('onRequest', (request, reply, done) => {
  // 요청 시작 시간 기록 및 타임아웃 강제 적용 (예: 30초 이상 응답 없는 연결 강제 종료)
  const timeoutId = setTimeout(() => {
    if (!reply.sent) {
      request.log.warn({ ip: request.ip }, 'Potential DoS attack detected: Connection hung');
      reply.code(408).send({ error: 'Request Timeout' });
    }
  }, 30000);

  reply.raw.on('finish', () => clearTimeout(timeoutId));
  done();
});

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

가용성 침해 사고를 예방하기 위해 사용 중인 @fastify/multipart 패키지를 즉시 10.1.7 이상 버전으로 업그레이드하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-117531)은 Fastify 웹 프레임워크의 멀티파트 폼 데이터 및 파일 업로드 처리 플러그인인 @fastify/multipart에서 발생하는 리소스 고갈(CWE-400) 취약점입니다. 클라이언트가 전송한 요청 본문(Request Body)이 파일 파트 내부에서 닫는 경계선(Closing Boundary) 없이 비정상적으로 종료될 때, 플러그인이 파서 에러(Parser Error)를 파일 스트림으로 적절히 전파하지 못하는 설계 결함이 원인입니다. 이로 인해 진행 중이던 파일 스트림은 에러 없이 파괴(Destroy)되지만, 스트림을 소비하는 핸들러는 에러나 종료 이벤트를 수신하지 못하고 무한 대기 상태에 빠지게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

인증되지 않은 원격 공격자는 의도적으로 조작된 멀티파트 업로드 요청을 전송하여 이 취약점을 악용할 수 있습니다. 공격자는 Content-Length 헤더를 정상적으로 설정하고 클라이언트 연결을 강제로 끊지 않으면서, 파일 데이터 중간에 닫는 경계선(Boundary)을 누락시킨 채 요청을 전송합니다. 애플리케이션 핸들러가 요청 파트를 순회하며 파일 스트림을 소비하기 전에 비동기 작업(예: 데이터베이스 조회, 권한 검증 등)을 수행하는 지연된 파일 소비(Delayed File Consumer) 패턴을 사용할 경우, 해당 스트림은 error나 end 이벤트를 영원히 발생시키지 않습니다. 공격자가 이러한 비정상적인 업로드를 반복적으로 수행하면, 서버는 응답하지 않는 대기 상태의 연결(Pending Connections)을 누적시켜 결국 가용 리소스를 모두 소진하고 서비스 거부(DoS) 상태에 이르게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 시스템의 기밀성(Confidentiality)이나 무결성(Integrity)에는 영향을 미치지 않지만, 가용성(Availability)에 치명적인 영향을 미칩니다. 특히 파일 업로드 기능을 제공하는 API 게이트웨이나 웹 서비스의 경우, 단 몇 번의 악의적인 요청만으로도 전체 Node.js 이벤트 루프가 차단되거나 소켓 연결이 고갈되어 정상적인 사용자의 접근이 완전히 차단될 수 있습니다. 이는 비즈니스 연속성 중단 및 서비스 신뢰도 저하로 직결됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

@fastify/multipart is the multipart form-data and file upload plugin for the Fastify web framework. In versions 5.3.0 through 10.1.6, the plugin does not propagate a parser error to the file stream when a request body ends inside a file part with no closing boundary, even though the Content-Length is complete, the client does not abort, and no file size limit is exceeded. The plugin destroys the in-progress file stream without an error, so a handler that iterates the request parts and performs asynchronous work before consuming the file attaches to a stream that never emits an error or end event, and the request never responds while the connection stays open. An unauthenticated remote client can repeat these malformed uploads against such a route to accumulate pending connections and exhaust server resources, so the impact is availability only and exploitation depends on the application using a delayed file consumer. The issue is fixed in @fastify/multipart 10.1.7, where the parser error is propagated to the file stream so a delayed consumer settles with an error instead of hanging, and users should upgrade to 10.1.7 or later. There is no workaround other than upgrading.

https://cna.openjsf.org/security-advisories.html

출처: ce714d77-add3-4f53-aff5-83d477b104bb

https://github.com/fastify/fastify-multipart/security/advisories/GHSA-5849-5m6q-9632

출처: ce714d77-add3-4f53-aff5-83d477b104bb