🇰🇷 한글 설명
Axios의 Node.js HTTP 어댑터는 인증된 HTTP 프록시를 통해 초기 요청을 보낸 후 프록시 없이 직접 연결되는 리다이렉션 경로에서 Proxy-Authorization 헤더를 누락 없이 전달할 수 있습니다. 이로 인해 최종 대상 서버가 프록시 인증을 위해 의도된 자격 증명을 노출받아 보안 취약점이 발생합니다.
💡 쉬운 설명
보안이 필요한 프록시를 거친 후 일반 인터넷으로 연결될 때, 프록시 비밀번호가 우연히 최종 웹사이트에 새겨져 전달되는 문제입니다. 공격자가 이 비밀번호를 가로채어 프록시 계정에 무단 접근할 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’s Node.js HTTP adapter may forward a Proxy-Authorization header to a redirected origin during specific proxy-to-direct redirect flows. This affects Node.js usage, where an initial HTTP request is sent through an authenticated HTTP proxy, redirects are followed, and the redirected URL is no longer proxied. Under affected redirect shapes, the final origin can receive the proxy credential that was intended only for the outbound proxy. This vulnerability is fixed in 0.32.0 and 1.16.0.
📍 영향받는 시스템
Axios Node.js adapter version < 0.32.0 and < 1.16.0
⚔️ 공격 벡터
프록시 인증이 필요한 환경에서 리다이렉션을 유발하는 URL을 통해 자격 증명 유출
🛡️ 대응 방법
Axios를 0.32.0 또는 1.16.0 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 0.32.0 미만 또는 1.16.0 미만인 경우 취약한 버전이 설치되어 있습니다.
npm list axios 2>/dev/null | grep -E 'axios@'