셀프 호스팅 Next.js의 메모리 고갈 취약점 대응
self-hosted Next.js에서 메모리 고갈로 서비스 중단이 발생할 수 있는 취약점 두 건이 수정되었습니다.
교안에 영향
self-hosted 배포에서 external image optimization 또는 Partial Pre-Rendering minimal mode를 설명하던 옛 안내는 더 이상 맞지 않을 수 있습니다.
요약
- Image Optimizer의 remotePatterns 사용 시 외부 이미지 최적화 경로에서 메모리 고갈 문제가 수정되었습니다. - Partial Pre-Rendering(PPR) minimal mode의 resume 엔드포인트에서 비인증 POST 처리로 인한 메모리 고갈 문제가 수정되었습니다. - 두 취약점은 서버 충돌을 유발할 수 있었지만, 데이터 노출이나 권한 상승은 발생하지 않습니다. - Vercel 플랫폼에서 호스팅되는 애플리케이션은 영향이 없으며 별도 조치가 필요하지 않습니다.
바뀐 것
기타
- 수정 버전은 15.5.10, 15.6.0-canary.61, 16.1.5, 16.2.0-canary.9입니다.
- 즉시 업그레이드가 어려운 self-hosted 배포는 untrusted remotePatterns를 제한하거나 제거하고, Partial Pre-Rendering 또는 minimal mode를 비활성화하며, reverse proxy에서 요청 크기 제한을 적용해야 합니다.
수정
- Image Optimizer에서 external image optimization이 enabled일 때 remotePatterns로 허용된 도메인의 큰 이미지를 처리하며 메모리 고갈이 발생할 수 있는 문제를 수정했습니다.
- Partial Pre-Rendering(PPR) minimal mode에서 resume endpoint가 인증 없이 받은 데이터를 처리하며 메모리 고갈이 발생할 수 있는 문제를 수정했습니다.