🇰🇷 한글 설명
Python의 urllib.request.AbstractBasicAuthHandler에서 발생하는 정규 표현식 서비스 거부(ReDoS) 취약점입니다. 공격자가 조작된 HTTP 요청을 보내면 서버가 정규 표현식 처리 과정에서 과도한 자원을 소모하여 서비스가 중단될 수 있습니다.
💡 쉬운 설명
특정한 형태의 인터넷 요청을 받았을 때, 파이썬 프로그램이 이를 처리하느라 너무 많은 계산을 하느라 멈춰버리는 문제입니다. 이로 인해 웹 서버가 응답하지 못하게 되어 서비스가 마비될 수 있습니다.
🇺🇸 원문 (English)
Python 2.7 through 2.7.17, 3.5 through 3.5.9, 3.6 through 3.6.10, 3.7 through 3.7.6, and 3.8 through 3.8.1 allows an HTTP server to conduct Regular Expression Denial of Service (ReDoS) attacks against a client because of urllib.request.AbstractBasicAuthHandler catastrophic backtracking.
📍 영향받는 시스템
Python 2.7 (2.7.17 이하), 3.5 (3.5.9 이하), 3.6 (3.6.10 이하), 3.7 (3.7.6 이하), 3.8 (3.8 이하)
⚔️ 공격 벡터
조작된 HTTP Basic Authentication 헤더를 포함한 요청을 서버로 전송
🛡️ 대응 방법
Python 버전을 취약점이 해결된 최신 패치 버전으로 업데이트
🔧 검증 코드
출력된 파이썬 버전을 확인하여 취약한 버전 범위에 해당하는지 대조
python --version 2>/dev/null || python3 --version 2>/dev/null