🇰🇷 한글 설명
python-requests 라이브러리 2.3.0 이전 버전에서 HTTP 리다이렉트 발생 시 netrc 파일의 비밀번호를 Authorization 헤더에 포함시켜 원격 서버에 노출하는 취약점입니다. 공격자가 리다이렉트를 유도하여 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
파이썬의 requests 라이브러리가 웹사이트 이동(리다이렉트) 시 로그인 정보를 그대로 넘겨주는 문제입니다. 공격자가 이를 이용해 사용자의 비밀번호를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Requests (aka python-requests) before 2.3.0 allows remote servers to obtain a netrc password by reading the Authorization header in a redirected request.
📍 영향받는 시스템
Python Requests 라이브러리 버전 2.3.0 이전 모든 버전
⚔️ 공격 벡터
공격자가 특정 도메인으로 리다이렉트하는 악의적인 URL을 제공하여 대상 서버가 Authorization 헤더로 netrc 인증 정보를 노출하도록 유도
🛡️ 대응 방법
Python Requests를 버전 2.3.0 이상으로 업그레이드 (pip install --upgrade requests)
🔧 검증 코드
설치된 requests 버전이 2.3.0 이상이면 패치 완료. 2.3.0 미만이면 업그레이드 필요
python3 -c "import requests; print(requests.__version__)" | grep -E '^2\.[3-9]|^[3-9]\.'