🇰🇷 한글 설명
guzzlehttp/psr7 라이브러리 2.12.1 미만 버전에서 HTTP 시작 라인 필드에 CR/LF 문자를 제대로 차단하지 못하는 취약점이 발견되었습니다. 공격자가 제어 가능한 데이터가 해당 필드에 포함된 상태로 메시지가 직렬화될 경우, 공격자가 의도한 임의의 HTTP 헤더가 삽입될 수 있습니다. 이는 HTTP 요청/응답 메시지를 다시 직렬화하여 네트워크로 전송하거나 처리하는 과정에서 발생합니다.
💡 쉬운 설명
웹 통신 메시지를 만드는 도구에서 줄바꿈 문자를 제대로 검사하지 않아 발생하는 문제입니다. 이를 통해 해커가 몰래 가짜 명령어나 정보를 메시지에 끼워 넣어 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
guzzlehttp/psr7 is a PSR-7 HTTP message library implementation in PHP. Prior to 2.12.1, guzzlehttp/psr7 did not reject CR/LF characters in certain first-party HTTP start-line fields: the request method, protocol version, and response reason phrase. If an application placed attacker-controlled data into one of those fields and later serialized the PSR-7 message as raw HTTP/1.x, for example with Message::toString() or an equivalent serializer, the serialized message could contain attacker-controlled header lines. The issue can also be reached through Message::parseRequest() or Message::parseResponse() when malformed raw messages are parsed into first-party PSR-7 objects and then serialized again. Creating or modifying a Request, Response, or other PSR-7 object alone is not sufficient. The issue requires the malformed message to be serialized and written to the network, forwarded, replayed, or otherwise processed by software that does not independently reject the malformed start line. This vulnerability is fixed in 2.12.1.
📍 영향받는 시스템
guzzlehttp/psr7 버전 2.12.1 미만
⚔️ 공격 벡터
HTTP 시작 라인 필드(메서드, 프로토콜 버전, 사유 문구)에 CR/LF 문자를 삽입하여 메시지를 직렬화할 때 발생
🛡️ 대응 방법
guzzlehttp/psr7 라이브러리를 2.12.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.12.1보다 낮은지 확인하십시오.
composer show guzzlehttp/psr7 | grep 'versions'