🇰🇷 한글 설명
Guzzle 7.12.1 미만 버전에서 특정 설정 시 프록시로 향하는 트래픽이 암호화되지 않은 평문으로 전송되는 취약점이 존재합니다. libcurl 7.50.2 미만 버전을 사용하는 환경에서 https:// 프록시를 설정하더라도 실제로는 암호화되지 않은 http:// 방식으로 통신하여 인증 정보와 대상 호스트 정보가 노출될 수 있습니다.
💡 쉬운 설명
보안 연결(HTTPS)을 사용한다고 믿었지만, 실제로는 프록시 서버와 통신할 때 비밀번호와 접속 정보가 암호화되지 않은 채로 전달될 수 있는 문제입니다. 이로 인해 해커가 중간에서 사용자의 로그인 정보나 접속하려는 사이트 주소를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Guzzle is an extensible PHP HTTP client. Prior to 7.12.1, in certain configurations, traffic expected to be protected by TLS on the hop to the proxy is transmitted in cleartext. Proxy authentication credentials (the Proxy-Authorization header, proxy userinfo in the proxy URL, or CURLOPT_PROXYUSERPWD) are sent without encryption, and the CONNECT target host and port for tunneled HTTPS requests are exposed. The built-in cURL handlers (GuzzleHttp\Handler\CurlHandler and GuzzleHttp\Handler\CurlMultiHandler, used by default whenever the PHP cURL extension is available) accept an https:// proxy. libcurl older than 7.50.2 silently treats an https:// proxy as a plaintext http:// proxy. The TLS connection to the proxy is never established, and the proxy leg is cleartext with no error or warning. An application is affected when it sends requests through one of the built-in cURL handlers, configures an https:// proxy expecting the proxy connection itself to be encrypted, and runs with libcurl older than 7.50.2. This vulnerability is fixed in 7.12.1.
📍 영향받는 시스템
Guzzle 7.12.1 미만 버전 및 libcurl 7.50.2 미만 버전이 설치된 PHP 환경
⚔️ 공격 벡터
네트워크 중간자 공격(Man-in-the-Middle)을 통해 평문으로 전송되는 프록시 인증 정보 및 대상 호스트 정보 탈취
🛡️ 대응 방법
Guzzle를 7.12.1 이상 버전으로 업데이트하고, 시스템의 libcurl 버전을 7.50.2 이상으로 업그레이드하십시오.
🔧 검증 코드
libcurl 버전이 7.50.2 미만이거나 guzzlehttp/guzzle 버전이 7.12.1 미만인지 확인합니다.
curl --version | grep libcurl && composer show guzzlehttp/guzzle