🇰🇷 한글 설명
Axios의 Node.js HTTP 어댑터는 0.32.0 및 1.16.0 버전 이전에서 인증된 프록시를 거치는 요청의 리다이렉션 시 Proxy-Authorization 헤더가 누출되는 취약점이 있습니다. 리다이렉션 대상이 프록시를 사용하지 않더라도 이전 프록시 인증 정보가 함께 전송될 수 있습니다.
💡 쉬운 설명
보안이 필요한 프록시를 통해 웹 요청을 보낼 때, 주소가 바뀌어 다른 곳으로 연결되더라도 원래의 비밀번호가 새 주소로 유출될 수 있습니다. 이는 Axios 라이브러리의 버그로 인해 발생하며, 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’ Node.js HTTP adapter can leak proxy credentials to a redirect target in affected versions. When a request is sent through an authenticated proxy, Axios may add a Proxy-Authorization header. If Axios then follows a redirect and the redirected request is no longer sent through that proxy, the stale Proxy-Authorization header can remain on the redirected request and be sent to the redirect target. This affects Node.js's use of Axios with automatic redirects enabled and an authenticated proxy configuration. Browser adapters are not affected. This vulnerability is fixed in 0.32.0 and 1.16.0.
📍 영향받는 시스템
Axios Node.js adapter versions < 0.32.0 and < 1.16.0
⚔️ 공격 벡터
Attacker controls redirect target to intercept Proxy-Authorization header
🛡️ 대응 방법
Update Axios to version 0.32.0 or 1.16.0 or later
🔧 검증 코드
출력된 버전이 0.32.0 미만 또는 1.16.0 미만인 경우 취약한 버전으로 판단
npm list axios 2>/dev/null | grep axios