🇰🇷 한글 설명
urllib3 라이브러리의 교차 출처 리다이렉트 취약점으로, 1.23부터 2.7.0 이전 버전에서 ProxyManager를 통해 assert_same_host=False 옵션 사용 시 민감한 헤더(인증 정보 등)가 의도하지 않은 도메인으로 유출될 수 있습니다. 2.7.0 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
웹 요청을 보낼 때 다른 사이트로 이동(리다이렉트)되는 경우 비밀번호나 인증 정보가 의도하지 않은 사이트로 전달될 수 있습니다. urllib3 라이브러리에서 보안 검사를 비활성화하면 이런 위험이 발생합니다.
🇺🇸 원문 (English)
urllib3 is an HTTP client library for Python. From 1.23 to before 2.7.0, cross-origin redirects followed from the low-level API via ProxyManager.connection_from_url().urlopen(..., assert_same_host=False) still forward these sensitive headers. This vulnerability is fixed in 2.7.0.
📍 영향받는 시스템
urllib3 1.23 ~ 2.6.x (Python)
⚔️ 공격 벡터
공격자가 피해자를 악의적 리다이렉트 페이지로 유도하여 민감한 HTTP 헤더(Authorization, Cookie 등) 탈취
🛡️ 대응 방법
urllib3를 2.7.0 이상으로 업그레이드 (pip install --upgrade urllib3)
🔧 검증 코드
설치된 urllib3 버전이 2.7.0 이상이면 'Safe', 그 미만이면 'Vulnerable' 표시
python3 -c "import urllib3; print(urllib3.__version__)" | grep -E '^2\.[7-9]|^[3-9]\.' && echo 'Safe' || echo 'Vulnerable'