🇰🇷 한글 설명
Gakido는 브라우저 사칭과 봇 방지 회피에 중점을 두는 Python HTTP 클라이언트입니다. 0.1.1 버전 이전의 Gakido에서 사용자 제공 헤더의 CRLF 시퀀스를 통한 HTTP 헤더 주입 취약점이 발견되었으며, 공격자는 \r\n, \n, \x00 문자가 포함된 헤더를 통해 임의의 HTTP 헤더를 주입할 수 있습니다.
💡 쉬운 설명
Gakido 라이브러리가 사용자 입력 헤더를 제대로 검증하지 않아 공격자가 악의적인 HTTP 헤더를 주입할 수 있는 보안 문제입니다. 버전 0.1.1 이상으로 업그레이드하면 헤더 검증 기능이 추가되어 해결됩니다.
🇺🇸 원문 (English)
Gakido is a Python HTTP client focused on browser impersonation and anti-bot evasion. A vulnerability was discovered in Gakido prior to version 0.1.1 that allowed HTTP header injection through CRLF (Carriage Return Line Feed) sequences in user-supplied header values and names. When making HTTP requests with user-controlled header values containing `\r\n` (CRLF), `\n` (LF), or `\x00` (null byte) characters, an attacker could inject arbitrary HTTP headers into the request. The fix in version 0.1.1 adds a `_sanitize_header()` function that strips `\r`, `\n`, and `\x00` characters from both header names and values before they are included in HTTP requests.
📍 영향받는 시스템
Gakido < 0.1.1
⚔️ 공격 벡터
User-supplied HTTP headers containing CRLF characters (\r\n, \n, \x00) to inject arbitrary HTTP headers into requests
🛡️ 대응 방법
Upgrade Gakido to version 0.1.1 or later
🔧 검증 코드
버전이 0.1.1 이상이면 안전하며, 그 미만이면 즉시 업그레이드 필요합니다.
pip show gakido | grep Version