🇰🇷 한글 설명
Tornado 6.4.1 미만 버전의 CurlAsyncHTTPClient에서 CRLF 인젝션 취약점이 발견되었습니다. 공격자가 요청 헤더 값에 줄바꿈 문자를 삽입하여 임의의 헤더를 추가하거나 새로운 HTTP 요청을 생성할 수 있습니다.
💡 쉬운 설명
웹 서버에 요청을 보낼 때 줄바꿈 문자를 몰래 끼워 넣어 서버를 속이는 공격입니다. 이를 통해 공격자는 가짜 명령을 전달하거나 보안 설정을 우회할 수 있습니다.
🇺🇸 원문 (English)
Tornado before 6.4.1 contains a CRLF injection vulnerability in CurlAsyncHTTPClient that fails to reject carriage return and line feed characters in request headers. Attackers can inject CRLF sequences into header values to inject arbitrary headers or construct entirely new HTTP requests.
📍 영향받는 시스템
Tornado < 6.4.1
⚔️ 공격 벡터
HTTP 요청 헤더 값에 CRLF(
) 특수 문자를 삽입하여 헤더 변조 및 요청 위조
🛡️ 대응 방법
Tornado 버전을 6.4.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 6.4.1보다 낮으면 취약한 상태입니다.
python3 -c 'import tornado; print(tornado.__version__)'