Node.js 프로젝트가 OpenSSL 2022년 6월 21일 보안 업데이트를 평가해 활성 릴리즈 라인이 영향받지 않음을 확인

Context

OpenSSL은 2022년 6월 21일 보안 업데이트를 발표했으며, Node.js 프로젝트는 이 취약점이 자신의 활성 릴리즈 라인에 영향을 미치는지 평가할 필요가 있었다.

Technical Solution

• OpenSSL 취약점 영향 범위 분석: c_rehash 스크립트 관련 취약점을 Node.js가 사용하거나 배포하는지 확인
• Node.js 배포 구성 검증: Node.js가 영향받는 c_rehash 스크립트를 포함하지 않음을 확인
• 보안 정책 공개: Node.js 보안 정책을 GitHub 보안 정책 페이지에서 공개 (https://github.com/nodejs/node/security/policy#security)
• 취약점 보고 채널 운영: 낮은 볼륨의 공지 전용 nodejs-sec 메일링 리스트 운영으로 보안 업데이트 정보 배포

Key Takeaway

오픈 소스 프로젝트의 의존성 추적 및 공개 취약점에 대한 신속한 영향도 평가는 사용자에게 신뢰를 제공하는 중요한 보안 활동이다.