🇰🇷 한글 설명
HTTP 라이브러리인 Requests의 URL 파싱 문제로 인해, 특정 악성 URL로 요청을 보낼 때 .netrc 파일에 저장된 인증 정보가 제3자에게 유출될 수 있습니다. Requests 2.32.4 미만 버전이 이 취약점에 노출되어 있습니다.
💡 쉬운 설명
인터넷 연결을 도와주는 Requests라는 도구에 결함이 있어, 나쁜 의도로 만들어진 주소에 접속하면 사용자의 비밀번호 정보가 몰래 빠져나갈 수 있습니다. 이를 막으려면 도구를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Requests is a HTTP library. Due to a URL parsing issue, Requests releases prior to 2.32.4 may leak .netrc credentials to third parties for specific maliciously-crafted URLs. Users should upgrade to version 2.32.4 to receive a fix. For older versions of Requests, use of the .netrc file can be disabled with `trust_env=False` on one's Requests Session.
📍 영향받는 시스템
Requests library versions prior to 2.32.4
⚔️ 공격 벡터
악의적으로 조작된 URL을 통해 .netrc 파일의 인증 정보를 외부로 유출시키는 방식
🛡️ 대응 방법
Requests 라이브러리를 2.32.4 버전 이상으로 업그레이드하거나, 세션 설정에서 trust_env=False를 사용합니다.
🔧 검증 코드
출력된 버전 번호가 2.32.4보다 낮으면 취약한 상태입니다.
pip show requests | grep Version