🇰🇷 한글 설명
Python의 urllib.parse 모듈 내 urlparse 메서드에서 입력값 검증이 미흡하여 발생하는 취약점입니다. URL 경로에 '
' 및 '
'과 같은 특수 문자가 포함될 수 있어, 공격자가 조작된 URL을 통해 인젝션 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹 주소를 분석하는 프로그램이 주소 안에 들어있는 잘못된 명령어를 걸러내지 못하는 문제입니다. 이를 통해 해커가 주소창에 몰래 명령어를 섞어 넣어 시스템을 공격할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Python, specifically within the urllib.parse module. This module helps break Uniform Resource Locator (URL) strings into components. The issue involves how the urlparse method does not sanitize input and allows characters like '\r' and '\n' in the URL path. This flaw allows an attacker to input a crafted URL, leading to injection attacks. This flaw affects Python versions prior to 3.10.0b1, 3.9.5, 3.8.11, 3.7.11 and 3.6.14.
📍 영향받는 시스템
Python 3.10.0b1, 3.9.5, 3.8.11, 3.7.11, 3.6.14 미만 버전
⚔️ 공격 벡터
조작된 URL(CRLF 문자 포함)을 입력하여 인젝션 공격 수행
🛡️ 대응 방법
Python을 최신 보안 패치가 적용된 버전(3.10.0b1, 3.9.5, 3.8.11, 3.7.11, 3.6.14 이상)으로 업데이트
🔧 검증 코드
출력된 Python 버전이 취약점이 해결된 보안 패치 버전 이상인지 확인