🇰🇷 한글 설명
Http4s 라이브러리의 HTTP 트레일러 섹션 처리 미흡으로 인해 HTTP 요청 스머글링 취약점이 발생합니다. 이 취약점은 공격자가 프론트엔드 보안 제어를 우회하거나 웹 캐시를 오염시키고 활성 사용자를 대상으로 공격을 수행할 수 있게 합니다. 이 문제는 리버스 프록시 뒤에 배포된 환경에서 발생할 가능성이 높습니다.
💡 쉬운 설명
웹 서버가 요청의 끝부분을 처리하는 방식에 오류가 있어, 공격자가 몰래 숨겨진 명령을 전달할 수 있는 문제입니다. 이를 통해 보안 벽을 넘거나 다른 사용자의 정보를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Http4s is a Scala interface for HTTP services. In versions from 1.0.0-M1 to before 1.0.0-M45 and before 0.23.31, http4s is vulnerable to HTTP Request Smuggling due to improper handling of HTTP trailer section. This vulnerability could enable attackers to bypass front-end servers security controls, launch targeted attacks against active users, and poison web caches. A pre-requisite for exploitation involves the web application being deployed behind a reverse-proxy that forwards trailer headers. This issue has been patched in versions 1.0.0-M45 and 0.23.31.
📍 영향받는 시스템
Http4s 1.0.0-M1 ~ 1.0.0-M44 및 0.23.31 미만 버전
⚔️ 공격 벡터
리버스 프록시가 트레일러 헤더를 전달하는 환경에서 조작된 HTTP 요청을 전송하여 발생
🛡️ 대응 방법
Http4s 버전을 1.0.0-M45 또는 0.23.31 이상으로 업데이트
🔧 검증 코드
프로젝트 설정 파일에서 사용 중인 http4s의 버전을 확인하여 취약 버전 범위에 해당하는지 체크합니다.
grep -r "http4s" /path/to/your/project/build.sbt || grep -r "http4s" /path/to/your/project/pom.xml