🇰🇷 한글 설명
curl_cffi의 0.15.0 이전 버전에서 내부 IP 범위로의 요청 제한 없이 리다이렉트를 자동으로 수행하는 취약점이 발견되었습니다. 이를 통해 공격자는 제어 가능한 URL을 사용하여 클라우드 메타데이터 엔드포인트와 같은 내부 서비스에 접근할 수 있으며, TLS 모방 기능을 이용해 네트워크 보안 제어를 우회할 수 있습니다.
💡 쉬운 설명
공격자가 만든 가짜 링크를 통해 서버 내부의 비밀 정보가 담긴 주소로 접속하게 만드는 취약점입니다. 특히 브라우저인 척 속여서 보안 장비를 통과할 수 있어 위험합니다.
🇺🇸 원문 (English)
curl_cffi is the a Python binding for curl. Prior to 0.15.0, curl_cffi does not restrict requests to internal IP ranges, and follows redirects automatically via the underlying libcurl. Because of this, an attacker-controlled URL can redirect requests to internal services such as cloud metadata endpoints. In addition, curl_cffi’s TLS impersonation feature can make these requests appear as legitimate browser traffic, which may bypass certain network controls. This vulnerability is fixed in 0.15.0.
📍 영향받는 시스템
curl_cffi 버전 0.15.0 미만
⚔️ 공격 벡터
악의적인 URL 리다이렉트를 이용한 서버 측 요청 위조(SSRF)
🛡️ 대응 방법
curl_cffi 라이브러리를 0.15.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 숫자가 0.15.0보다 낮으면 취약한 상태입니다.
pip show curl_cffi | grep Version