🇰🇷 한글 설명
Django의 utils.html.strip_tags 함수가 특정 Python 버전과 함께 사용될 때 입력 문자열의 길이를 증가시켜 원격 공격자가 무한 루프를 유발하는 서비스 거부(DoS) 공격을 일으킬 수 있는 취약점입니다. Django 1.6.11, 1.7.7, 1.8c1 이전 버전이 영향받습니다.
💡 쉬운 설명
Django 웹 프레임워크의 HTML 태그 제거 기능에 버그가 있어서, 공격자가 특별히 만든 긴 텍스트를 보내면 서버가 응답하지 않고 멈추게 됩니다. 이를 통해 웹사이트 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
The utils.html.strip_tags function in Django 1.6.x before 1.6.11, 1.7.x before 1.7.7, and 1.8.x before 1.8c1, when using certain versions of Python, allows remote attackers to cause a denial of service (infinite loop) by increasing the length of the input string.
📍 영향받는 시스템
Django 1.6.x (<1.6.11), 1.7.x (<1.7.7), 1.8.x (<1.8c1) 특정 Python 버전
⚔️ 공격 벡터
HTML 태그 제거 함수를 통과하는 매우 긴 입력 문자열을 HTTP 요청으로 전송하여 서버의 무한 루프 유발
🛡️ 대응 방법
Django를 1.6.11, 1.7.7, 1.8c1 이상의 패치된 버전으로 즉시 업그레이드
🔧 검증 코드
출력이 '취약함'이면 패치 필요, '안전함'이면 시스템이 보호됨
python3 -c "import django; v=django.get_version(); print('취약함' if any(v.startswith(x) for x in ['1.6','1.7','1.8']) else '안전함')" 2>/dev/null