🇰🇷 한글 설명
Guzzle 7.12.3 미만 버전의 CookieJar에서 IP 주소나 숫자 형태의 도메인에 대해 접미사 일치 방식을 잘못 적용하는 취약점이 발견되었습니다. 이로 인해 다른 호스트의 쿠키가 노출되거나 주입될 수 있으며, 세션 고정 공격이 가능합니다.
💡 쉬운 설명
웹사이트가 쿠키를 저장할 때 IP 주소를 제대로 구분하지 못해, 다른 사이트의 중요한 정보가 유출될 수 있는 문제입니다. 공격자가 사용자의 로그인 세션을 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Guzzle is an extensible PHP HTTP client. Prior to 7.12.3, CookieJar did not restrict cookies scoped to IP-address or bare-numeric Domain values to the exact host that set them, because SetCookie::matchesDomain() applied ordinary suffix matching to domains such as 192.168.0.1, [::1], or 1, allowing cross-host cookie disclosure, cookie injection, or session fixation. This issue is fixed in version 7.12.3.
📍 영향받는 시스템
Guzzle PHP HTTP client versions prior to 7.12.3
⚔️ 공격 벡터
IP 주소 기반 도메인에 대한 부적절한 접미사 매칭을 이용한 교차 호스트 쿠키 노출 및 주입
🛡️ 대응 방법
Guzzle 라이브러리를 7.12.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 7.12.3 미만인지 확인하십시오.
composer show guzzlehttp/guzzle | grep 'versions'