🇰🇷 한글 설명
Twisted Web HTTP 1.1 서버가 RFC 7230 표준을 엄격하게 준수하지 않고 HTTP 요청을 파싱하여 발생하는 취약점입니다. 이로 인해 여러 HTTP 파서가 존재하는 환경에서 요청 동기화 오류(desync)가 발생할 수 있으며, 결과적으로 HTTP 요청 스머글링 공격으로 이어질 수 있습니다.
💡 쉬운 설명
웹 서버가 인터넷 규칙을 완벽하게 지키지 않아 발생하는 보안 허점입니다. 공격자가 이 틈을 이용해 정상적인 요청 사이에 몰래 악의적인 요청을 끼워 넣어 서버를 속일 수 있습니다.
🇺🇸 원문 (English)
Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to version 22.4.0rc1, the Twisted Web HTTP 1.1 server, located in the `twisted.web.http` module, parsed several HTTP request constructs more leniently than permitted by RFC 7230. This non-conformant parsing can lead to desync if requests pass through multiple HTTP parsers, potentially resulting in HTTP request smuggling. Users who may be affected use Twisted Web's HTTP 1.1 server and/or proxy and also pass requests through a different HTTP server and/or proxy. The Twisted Web client is not affected. The HTTP 2.0 server uses a different parser, so it is not affected. The issue has been addressed in Twisted 22.4.0rc1. Two workarounds are available: Ensure any vulnerabilities in upstream proxies have been addressed, such as by upgrading them; or filter malformed requests by other means, such as configuration of an upstream proxy.
📍 영향받는 시스템
Twisted 22.4.0rc1 미만 버전의 HTTP 1.1 서버 및 프록시
⚔️ 공격 벡터
비표준 HTTP 요청 구문을 이용한 HTTP 요청 스머글링(Request Smuggling)
🛡️ 대응 방법
Twisted를 22.4.0rc1 이상의 버전으로 업그레이드하거나 상위 프록시에서 잘못된 요청을 필터링하도록 설정하십시오.
🔧 검증 코드
출력된 버전이 22.4.0rc1보다 낮으면 해당 취약점에 노출된 상태입니다.
pip show twisted | grep Version