🇰🇷 한글 설명
Microdot 2.6.1 이전 버전의 Response.set_cookie() 메서드가 문자열 인자를 올바르게 새니타이즈하지 않아 \r\n 시퀀스를 감지하지 못합니다. 이를 통해 HTTP 헤더 인젝션 공격이 가능하지만, 공격자가 먼저 클라이언트에 침입(예: XSS)해야 하므로 제한된 위협입니다.
💡 쉬운 설명
Microdot 웹 프레임워크의 쿠키 생성 기능이 악의적인 입력을 필터링하지 못합니다. 해커가 사용자 브라우저를 장악한 경우, 이를 악용해 서버와의 통신 헤더를 조작할 수 있습니다.
🇺🇸 원문 (English)
Microdot is a minimalistic Python web framework. Prior to 2.6.1, the Response.set_cookie() method does not sanitize its string arguments, and in particular will not detect the presence of the \r\n sequence in them. This can be a potential source of header injection attacks. For a header injection attack through this issue to be possible, an attacker must first infiltrate the client (for example through an independent XSS attack), so that it can send malicious information that is destined to be stored in a cookie by the server on behalf of the victim. An attacker that infiltrates one client can only orchestrate a header injection attack for that client, all other clients that were not infiltrated are safe. This vulnerability is fixed in 2.6.1.
📍 영향받는 시스템
Microdot Python 웹 프레임워크 2.6.1 이전 모든 버전
⚔️ 공격 벡터
공격자가 XSS 취약점 등으로 피해자 클라이언트에 침입한 후, \r\n을 포함한 악의적인 쿠키 데이터를 set_cookie()에 전달하여 HTTP 헤더 인젝션 실행
🛡️ 대응 방법
Microdot을 2.6.1 이상으로 업그레이드
🔧 검증 코드
설치된 Microdot 버전을 확인하여 2.6.1(2006001 이상)과 비교합니다. 버전 번호가 더 크거나 같으면 패치된 상태입니다.
pip list | grep -i microdot | awk '{print $2}' | awk -F. '{print ($1*1000000 + $2*1000 + $3)}'