🇰🇷 한글 설명
Python SOAP 클라이언트인 Zeep의 4.0.0 미만 4.3.3 버전에서 WSDL 또는 XSD 문서 파싱 시 Settings.forbid_external 설정이 강제되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 지정한 외부 URL을 호출하는 xsd:import, xsd:include, lxml 엔티티 또는 DTD 참조가 가능해집니다. 이 문제는 버전 4.3.3에서 수정되었습니다.
💡 쉬운 설명
프로그램이 외부 문서를 읽어올 때 보안 규칙을 제대로 지키지 않아, 공격자가 만든 악성 주소로 접속을 유도할 수 있는 문제입니다. 이를 통해 공격자가 원치 않는 외부 데이터를 가져오게 만들 수 있습니다.
🇺🇸 원문 (English)
Zeep is a Python SOAP client. From 4.0.0 before 4.3.3, Settings.forbid_external is defined but not enforced when parsing WSDL or XSD documents, allowing transitive xsd:import, xsd:include, wsdl:import, and lxml entity or DTD references to fetch attacker-chosen HTTP or HTTPS URLs. This issue is fixed in version 4.3.3.
📍 영향받는 시스템
Zeep Python library (versions 4.0.0 to 4.3.2)
⚔️ 공격 벡터
조작된 WSDL/XSD 파일을 통해 외부 HTTP/HTTPS URL로의 요청을 유도하는 방식
🛡️ 대응 방법
Zeep 라이브러리를 4.3.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.3.3 미만이면 취약한 상태입니다.
pip show zeep | grep Version