🇰🇷 한글 설명
h11 라이브러리의 청크 인코딩에서 줄 종료자 파싱이 너무 관대하여 요청 스머글링 취약점을 야기합니다. 버그가 있는 역프록시와 함께 사용할 때 악용 가능하며, 0.16.0 이상에서 패치되었습니다.
💡 쉬운 설명
Python HTTP 라이브러리인 h11이 메시지 형식을 너무 관대하게 받아서 공격자가 숨겨진 요청을 몰래 전송할 수 있는 문제입니다. 버전을 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
h11 is a Python implementation of HTTP/1.1. Prior to version 0.16.0, a leniency in h11's parsing of line terminators in chunked-coding message bodies can lead to request smuggling vulnerabilities under certain conditions. This issue has been patched in version 0.16.0. Since exploitation requires the combination of buggy h11 with a buggy (reverse) proxy, fixing either component is sufficient to mitigate this issue.
📍 영향받는 시스템
Python h11 library versions < 0.16.0
⚔️ 공격 벡터
Malformed chunked transfer encoding with improper line terminators passed through vulnerable reverse proxies
🛡️ 대응 방법
Upgrade h11 to version 0.16.0 or later immediately
🔧 검증 코드
0.16.0 이상이면 안전, 그 이하면 취약점 존재
pip show h11 | grep Version | awk '{print $2}'