🇰🇷 한글 설명
프로토콜 선택 매개변수 옵션에서 모든 프로토콜을 비활성화할 때, 프로토콜 제거 로직의 오류로 인해 기본 프로토콜 세트가 허용 목록에 그대로 남는 결함이 발견되었습니다. 이로 인해 명시적으로 비활성화한 평문 프로토콜이 curl 요청 시 사용될 수 있습니다. 다만, 모든 프로토콜을 비활성화하는 설정은 실무에서 거의 사용되지 않으므로 위험도는 낮게 평가되었습니다.
💡 쉬운 설명
사용자가 특정 통신 방식(프로토콜)을 사용하지 못하도록 설정해도, 프로그램의 논리적 오류로 인해 차단된 방식이 여전히 작동할 수 있는 문제입니다. 하지만 모든 통신 방식을 다 꺼버리는 설정은 실제로 거의 쓰이지 않기 때문에 위험은 매우 낮습니다.
🇺🇸 원문 (English)
When a protocol selection parameter option disables all protocols without adding any then the default set of protocols would remain in the allowed set due to an error in the logic for removing protocols. The below command would perform a request to curl.se with a plaintext protocol which has been explicitly disabled. curl --proto -all,-http http://curl.se The flaw is only present if the set of selected protocols disables the entire set of available protocols, in itself a command with no practical use and therefore unlikely to be encountered in real situations. The curl security team has thus assessed this to be low severity bug.
📍 영향받는 시스템
curl (모든 프로토콜을 비활성화하는 특정 옵션 사용 시)
⚔️ 공격 벡터
사용자가 모든 프로토콜을 비활성화하도록 설정한 특수한 명령어를 실행할 때 발생
🛡️ 대응 방법
curl을 최신 버전으로 업데이트하여 프로토콜 제거 로직 오류를 수정하십시오.
🔧 검증 코드
출력된 curl 버전을 확인하여 보안 패치가 적용된 최신 버전인지 확인하십시오.