fix(deps): undici WebSocket DoS 보안 패치를 적용한다

[OstenHun]

2026-10-01 병합 결과

이 보안 PR은 develop에 병합됐습니다. 병합 커밋은 6766db7a554f41a760ae68d6a82a16877baf672d이며, undici 6.28.1을 확인했습니다.

병합 후 develop CI에서 테스트 75개, typecheck, build 모두 통과했고 설치 감사도 취약점 0건입니다. PR #16은 이 develop을 동기화한 뒤 Node.js 22/24 CI 정렬을 별도로 진행합니다. 운영 배포는 수행하지 않았습니다.

아래는 분리 당시의 변경 범위와 검증 기록입니다.

요약

PR #16에서 보안 의존성 변경을 분리합니다. develop@3834a38 기준으로 package-lock.json의 undici만 6.28.0 → 6.28.1로 갱신합니다. 버전, tarball URL, integrity의 3줄만 변경하며 CI 설정과 제품 코드는 변경하지 않습니다.

[Critical Review]
Gate Status: ready_for_verification

• Problem: GHSA-rfgv-xxqx-mfg5는 undici WebSocket 클라이언트가 요청하지 않은 subprotocol 응답을 받았을 때 처리되지 않은 TypeError로 프로세스가 종료되는 DoS입니다.
• 현재 AMDC 기본 Node Discord Gateway는 ws를 사용합니다. npm undici의 결함은 로컬에서 재현했지만, AMDC 기본 경로의 원격 공격 가능성이 확인됐다는 뜻은 아닙니다.
• discord.js와 @discordjs/rest는 모두 undici ^6.27.0을 허용하므로 6.28.1은 기존 범위에 들어갑니다. Node 요구사항 >=18.17도 동일합니다.

[Trade-off Analysis]

• Analysis: 잠금 파일의 패치 버전만 갱신해 의존 범위와 API를 유지합니다. discord.js 전체 업데이트나 undici major override는 변경 범위를 넓혀 선택하지 않았습니다.
• Action: 취약 사본 하나를 공식 패치 버전으로 교체합니다. PR #16의 CI·문서 변경과는 독립적으로 검토할 수 있습니다. 롤백은 이 커밋의 잠금 파일 변경을 되돌리지만 취약 버전도 복원되므로 권장하지 않습니다.

[Actionable Next Step]

검증

분리된 최종 트리 1e321ad를 클라우드 Linux / Node.js 24.19.0에서 검증했습니다.

• npm ci: 통과
• npm test: 75개 통과, 실패·건너뜀 0
• npm run typecheck, npm run build, git diff --check: 통과
• 가짜 localhost WebSocket 응답: 프로토콜 생략/빈 배열에 대한 예상 밖 응답과 불일치 응답을 프로세스 종료 없이 거부, 정상 연결 유지
• 앞선 수정 검증에서 HTTP fetch/request와 Discord REST 가짜 서버 통신, 별도 검토의 handshake 13개 및 CJS·ESM·deep import 확인도 통과
• npm audit --json: 취약점 0건
• GitHub Actions Linux / Node.js 20.20.2: 최종 head 48f9b22a8bbabdca56bee44665a196abcd9f8a06의 설치, 테스트 75개, typecheck, build 모두 통과. CI 설치 감사도 0건
• 이 보안 PR은 기존 develop 워크플로에 따라 head를 검사합니다. 현재 develop@3834a38과 GitHub 생성 merge ref 3fe95bd의 트리가 head와 동일한 1e321ad임을 별도 확인했습니다. merge-ref checkout 변경은 #16이 담당합니다.

분리와 병합 순서

이 PR은 develop에서 직접 분기해 보안 패치만 포함합니다. PR #16에서는 되돌림 커밋으로 같은 의존성 변경을 제거해 기존 충돌 해결 이력을 보존합니다.

권장 순서는 이 보안 PR을 먼저 검토·병합한 뒤 PR #16을 최신 develop에 동기화해 CI를 재확인하는 것입니다. 보안 PR이 병합되기 전 CI 전용 #16에는 현재 develop의 undici 6.28.0 감사 경고가 남습니다. 두 PR을 분리하는 작업은 병합이나 배포를 포함하지 않습니다.

검증은 현재 코드와 가짜 입력에 한정합니다. 실제 Discord/AMDB/OpenAI 호출, 운영 배포, Windows·Docker 실행 검증은 수행하지 않았습니다.

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-10-01T17:18:21.804412Z	48f9b22	Draft marked ready

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.