🇰🇷 한글 설명
curl이 metalink 기능을 사용하여 콘텐츠를 가져올 때, metalink XML 파일을 다운로드하기 위해 사용된 사용자 이름과 비밀번호가 이후 콘텐츠를 다운로드하는 각 서버로 자동으로 전달되는 취약점입니다. 이는 사용자의 의도와 달리 인증 정보가 외부 서버로 노출될 수 있음을 의미합니다.
💡 쉬운 설명
파일을 여러 곳에서 나누어 받는 기능을 쓸 때, 처음 로그인할 때 쓴 아이디와 비밀번호가 다른 서버들에도 자동으로 전달되는 문제입니다. 이 과정에서 사용자가 모르는 사이에 중요한 로그인 정보가 다른 곳으로 유출될 수 있습니다.
🇺🇸 원문 (English)
When curl is instructed to get content using the metalink feature, and a user name and password are used to download the metalink XML file, those same credentials are then subsequently passed on to each of the servers from which curl will download or try to download the contents from. Often contrary to the user's expectations and intentions and without telling the user it happened.
📍 영향받는 시스템
curl (metalink 기능을 사용하는 버전)
⚔️ 공격 벡터
악의적으로 조작된 metalink XML 파일을 통해 사용자의 인증 정보를 외부 서버로 유출
🛡️ 대응 방법
curl을 최신 보안 패치가 적용된 버전으로 업데이트하거나 metalink 기능 사용 시 주의
🔧 검증 코드
출력된 curl 버전을 확인하여 보안 패치가 적용된 최신 버전인지 확인