🇰🇷 한글 설명
Go 1.11.5 버전의 net/http 패키지에서 CRLF 인젝션 취약점이 발견되었습니다. 공격자가 URL 파라미터를 제어할 수 있는 경우, http.NewRequest의 두 번째 인자에
을 삽입하여 임의의 HTTP 헤더나 Redis 명령어를 주입할 수 있습니다.
💡 쉬운 설명
웹사이트 주소에 특수 문자를 몰래 끼워 넣어 서버가 잘못된 명령을 내리게 만드는 보안 약점입니다. 이를 통해 해커가 서버의 정보를 가로채거나 다른 명령을 실행할 위험이 있습니다.
🇺🇸 원문 (English)
An issue was discovered in net/http in Go 1.11.5. CRLF injection is possible if the attacker controls a url parameter, as demonstrated by the second argument to http.NewRequest with \r\n followed by an HTTP header or a Redis command.
📍 영향받는 시스템
Go 언어 1.11.5 이하 버전의 net/http 패키지
⚔️ 공격 벡터
URL 파라미터에 줄바꿈 문자(
)를 포함시켜 HTTP 헤더나 Redis 명령어를 주입하는 방식
🛡️ 대응 방법
Go 언어를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Go 버전이 1.11.5 이하인지 확인하십시오.