🇰🇷 한글 설명
Tornado 웹 프레임워크의 SimpleAsyncHTTPClient에서 리다이렉트 요청 시 인증 정보가 제대로 삭제되지 않는 취약점이 발견되었습니다. 6.5.6 미만 버전에서는 리다이렉트 시 호스트 헤더만 제거되고 Authorization, 사용자 이름, 비밀번호 등의 인증 정보가 그대로 유지되어 보안 위험을 초래할 수 있습니다.
💡 쉬운 설명
웹사이트를 이용하다가 다른 사이트로 자동으로 연결될 때, 원래 사이트에서 사용하던 로그인 정보가 새 사이트로 몰래 전달될 수 있는 문제입니다. 이로 인해 중요한 계정 정보가 해커에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.5.6, SimpleAsyncHTTPClient shallow-copied redirected requests and removed only the Host header, leaving Authorization, auth_username, auth_password, and auth_mode in place when a redirect changed scheme, host, or port. This issue is fixed in version 6.5.6.
📍 영향받는 시스템
Tornado web framework versions prior to 6.5.6
⚔️ 공격 벡터
신뢰할 수 없는 사이트로 리다이렉트되는 요청을 유도하여 인증 헤더를 탈취하는 방식
🛡️ 대응 방법
Tornado 라이브러리를 6.5.6 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 6.5.6보다 낮으면 취약한 상태입니다.
pip show tornado | grep Version