🇰🇷 한글 설명
Flask-HTTPAuth 4.8.1 이전 버전에서는 토큰이 없거나 빈 토큰으로 보호된 리소스에 요청하면, 애플리케이션의 토큰 검증 콜백 함수가 빈 문자열 토큰으로 호출됩니다. 데이터베이스에 빈 문자열을 토큰으로 가진 사용자가 있다면, 해당 사용자로 인증될 수 있습니다. 이 문제는 4.8.1 버전에서 수정되었습니다.
💡 쉬운 설명
토큰 없이 요청해도 시스템이 빈 값을 토큰으로 착각해 인증을 통과시킬 수 있는 문제입니다. 빈 토큰을 가진 계정이 있으면 그 계정 권한으로 접근될 수 있습니다.
🇺🇸 원문 (English)
Flask-HTTPAuth provides Basic, Digest and Token HTTP authentication for Flask routes. Prior to version 4.8.1, in a situation where the client makes a request to a token protected resource without passing a token, or passing an empty token, Flask-HTTPAuth would invoke the application's token verification callback function with the token argument set to an empty string. If the application had any users in its database with an empty string set as their token, then it could potentially authenticate the client request against any of those users. This issue has been patched in version 4.8.1.
📍 영향받는 시스템
Flask-HTTPAuth 4.8.1 미만 버전을 사용하는 Flask 애플리케이션
⚔️ 공격 벡터
토큰 없이 또는 빈 토큰으로 토큰 보호 리소스에 요청을 보내 빈 토큰을 가진 사용자로 인증 우회
🛡️ 대응 방법
Flask-HTTPAuth를 4.8.1 이상으로 업그레이드하고, 빈 문자열 토큰을 가진 사용자 레코드가 없는지 점검
🔧 검증 코드
출력된 Version 값이 4.8.1 미만이면 취약하고, 4.8.1 이상이면 패치된 버전입니다.
pip show Flask-HTTPAuth 2>/dev/null | grep -i version