🇰🇷 한글 설명
CVE-2019-9636의 보안 회귀 현상이 Python에서 발견되었습니다. 공격자가 URL의 사용자 및 비밀번호 부분을 악용하여 애플리케이션이 쿠키나 인증 정보와 같은 민감한 데이터를 잘못된 호스트로 전송하도록 유도할 수 있습니다.
💡 쉬운 설명
인터넷 주소(URL)를 조작하여, 원래 전달되어야 할 비밀번호나 쿠키 정보를 해커의 서버로 몰래 보내게 만드는 취약점입니다. 주소를 해석하는 과정에서 오류가 발생하여 정보가 엉뚱한 곳으로 유출될 수 있습니다.
🇺🇸 원문 (English)
A security regression of CVE-2019-9636 was discovered in python since commit d537ab0ff9767ef024f26246899728f0116b1ec3 affecting versions 2.7, 3.5, 3.6, 3.7 and from v3.8.0a4 through v3.8.0b1, which still allows an attacker to exploit CVE-2019-9636 by abusing the user and password parts of a URL. When an application parses user-supplied URLs to store cookies, authentication credentials, or other kind of information, it is possible for an attacker to provide specially crafted URLs to make the application locate host-related information (e.g. cookies, authentication data) and send them to a different host than where it should, unlike if the URLs had been correctly parsed. The result of an attack may vary based on the application.
📍 영향받는 시스템
Python 2.7, 3.5, 3.6, 3.7 및 3.8.0a4 ~ 3.8.0b1 버전
⚔️ 공격 벡터
특수하게 조작된 URL의 사용자(user) 및 비밀번호(password) 필드를 이용한 데이터 탈취
🛡️ 대응 방법
Python을 최신 보안 패치가 적용된 버전(3.7.3, 3.6.8, 3.5.10 이상 등)으로 업데이트하십시오.
🔧 검증 코드
출력된 Python 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
python3 --version 2>/dev/null || python --version 2>/dev/null