🇰🇷 한글 설명
BlackSheep은 Python으로 이벤트 기반 웹 애플리케이션을 구축하기 위한 비동기 웹 프레임워크입니다. 2.4.6 이전 버전의 BlackSheep에서 HTTP 클라이언트 구현에는 CRLF 주입 취약성이 존재합니다. 헤더 유효성 검증이 누락되어 공격자가 HTTP 요청을 수정하거나 새로운 HTTP 요청을 생성할 수 있습니다. 개발자가 사용자 입력을 헤더에 직접 전달할 때 악용될 수 있습니다.
💡 쉬운 설명
BlackSheep 프레임워크의 HTTP 클라이언트에서 CRLF 주입 취약성이 발견되었습니다. 이는 공격자가 HTTP 요청을 수정하거나 새로운 요청을 생성할 수 있습니다. 개발자가 사용자 입력을 헤더에 직접 전달할 때 취약성이 악용될 수 있습니다.
🇺🇸 원문 (English)
BlackSheep is an asynchronous web framework to build event based web applications with Python. Prior to 2.4.6, the HTTP Client implementation in BlackSheep is vulnerable to CRLF injection. Missing headers validation makes it possible for an attacker to modify the HTTP requests (e.g. insert a new header) or even create a new HTTP request. Exploitation requires developers to pass unsanitized user input directly into headers.The server part is not affected because BlackSheep delegates to an underlying ASGI server handling of response headers. This vulnerability is fixed in 2.4.6.
📍 영향받는 시스템
BlackSheep 2.4.6 이전 버전
⚔️ 공격 벡터
사용자 입력을 헤더에 직접 전달하여 CRLF 주입 공격을 수행
🛡️ 대응 방법
BlackSheep 2.4.6 이상 버전으로 업그레이드
🔧 검증 코드
로컬 Python 환경에서 BlackSheep 패키지 버전을 확인하는 코드입니다. Python이 설치되어 있고 BlackSheep 패키지가 설치되어 있어야 합니다. 코드를 실행하여 BlackSheep 버전을 확인하고 취약성 여부를 판단합니다.
import pkg_resources
version = pkg_resources.get_distribution('blacksheep').version
if version < '2.4.6':
print({"result": "취약", "reason": "BlackSheep 버전이 2.4.6 미만"})
else:
print({"result": "양호", "reason": "BlackSheep 버전이 2.4.6 이상"})