🇰🇷 한글 설명
Twisted 프레임워크의 HTTP 1.0/1.1 서버가 파이프라인된 HTTP 요청을 비순서로 처리하여 정보 공개 취약점이 발생합니다. 공격자가 여러 요청을 동시에 전송했을 때 응답이 잘못된 요청과 매칭되어 민감한 데이터가 노출될 수 있습니다. 버전 24.7.0rc1에서 수정되었습니다.
💡 쉬운 설명
Twisted 웹 서버에서 여러 HTTP 요청을 한꺼번에 보낼 때 서버가 이들을 잘못된 순서로 처리할 수 있습니다. 이로 인해 공격자가 다른 사용자의 정보를 볼 수 있게 됩니다.
🇺🇸 원문 (English)
Twisted is an event-based framework for internet applications, supporting Python 3.6+. The HTTP 1.0 and 1.1 server provided by twisted.web could process pipelined HTTP requests out-of-order, possibly resulting in information disclosure. This vulnerability is fixed in 24.7.0rc1.
📍 영향받는 시스템
Twisted 프레임워크 24.7.0rc1 이전 모든 버전 (Python 3.6 이상 지원)
⚔️ 공격 벡터
HTTP 파이프라이닝(pipelining)을 이용해 여러 요청을 순차적으로 전송하여 응답 매칭 오류 유도
🛡️ 대응 방법
Twisted를 24.7.0rc1 이상으로 업그레이드 (pip install --upgrade twisted)
🔧 검증 코드
버전이 24.7.0 이상이면 안전, 24.7.0 미만이면 취약점 존재
python -c "import twisted; print('Twisted ' + twisted.__version__)" | grep -E '2[4-9]\.[7-9]|^Twisted [3-9]'