🇰🇷 한글 설명
Python의 HTTP 클라이언트 라이브러리인 urllib3에서 압축 해제 체인의 링크 수가 제한되지 않는 취약점이 발견되었습니다. 공격자가 악의적인 서버를 통해 무제한에 가까운 압축 단계를 삽입할 경우, 과도한 CPU 사용량과 대규모 메모리 할당을 유발할 수 있습니다.
💡 쉬운 설명
나쁜 서버가 데이터를 아주 복잡하게 압축해서 보내면, 컴퓨터가 이를 풀다가 힘이 빠져서 멈추거나 메모리가 꽉 차버리는 현상입니다. 이를 통해 컴퓨터의 성능을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
urllib3 is a user-friendly HTTP client library for Python. Starting in version 1.24 and prior to 2.6.0, the number of links in the decompression chain was unbounded allowing a malicious server to insert a virtually unlimited number of compression steps leading to high CPU usage and massive memory allocation for the decompressed data. This vulnerability is fixed in 2.6.0.
📍 영향받는 시스템
urllib3 version 1.24 to 2.5.x
⚔️ 공격 벡터
악의적인 서버가 압축 해제 루프를 유발하는 다중 압축 데이터를 응답으로 전송
🛡️ 대응 방법
urllib3 버전을 2.6.0 이상으로 업데이트
🔧 검증 코드
출력된 Version이 2.6.0 미만이면 취약한 상태입니다.
pip show urllib3 | grep Version