🇰🇷 한글 설명
Tornado 6.6 이전 버전의 tornado.web.RedirectHandler에서 URL 템플릿에 정규식 캡처 치환이 경로 시작, 고정 호스트 직후, 템플릿 시작 위치에 배치되면 조작된 요청 경로로 리다이렉트의 스킴이나 네트워크 위치가 바뀔 수 있습니다. 이를 통해 공격자가 애플리케이션 도메인에서 오픈 리다이렉트를 만들어 피싱에 악용할 수 있습니다. 6.6 버전에서 수정되었습니다.
💡 쉬운 설명
Tornado 웹 프레임워크의 리다이렉트 기능에 결함이 있어, 공격자가 정상 사이트 주소를 이용해 사용자를 악성 사이트로 보낼 수 있습니다. 사용자는 믿을 수 있는 도메인을 보고 접속하게 되므로 피싱 위험이 높아집니다.
🇺🇸 원문 (English)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.6, tornado.web.RedirectHandler URL templates can place regex-capture substitutions where crafted request paths change the redirect scheme or network location. Affected placements include substitutions at the start of a path, directly after a fixed host, or at the beginning of the template, including protocol-relative, absolute, backslash, encoded, host-extension, and user-info variants interpreted by browsers as attacker-controlled destinations. Static templates and substitutions after a fixed host followed by a slash are not affected. An attacker can use the resulting open redirect on the application's domain for phishing. This issue is fixed in version 6.6.
📍 영향받는 시스템
Tornado 6.6 미만 버전을 사용하는 RedirectHandler 기반 Python 웹 애플리케이션
⚔️ 공격 벡터
조작된 요청 경로(프로토콜 상대경로, 백슬래시, 인코딩, 사용자정보 포함 등)를 보내 애플리케이션 도메인에서 외부 악성 사이트로 리다이렉트를 유발
🛡️ 대응 방법
Tornado를 6.6 이상으로 업그레이드하고, 리다이렉트 템플릿에서 경로 시작 위치의 정규식 치환 사용을 피하거나 고정 호스트 뒤에 슬래시를 두세요.
🔧 검증 코드
출력된 버전이 6.6 미만이면 취약하므로 6.6 이상으로 업그레이드가 필요하고, 6.6 이상이면 패치된 상태입니다.
pip show tornado 2>/dev/null | grep -i '^version'