🇰🇷 한글 설명
Python의 httplib2 라이브러리 0.32.0 미만 버전에서 발생하는 취약점입니다. 공격자가 조작된 gzip 또는 deflate 압축 데이터를 전송할 경우, 클라이언트가 이를 해제하는 과정에서 메모리를 무제한으로 사용하여 메모리 부족(OOM) 오류나 프로세스 강제 종료를 유발할 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 크기를 제한하지 않아 발생하는 문제입니다. 나쁜 서버가 아주 작은 파일을 보낸 뒤 풀었을 때 엄청나게 커지도록 만들어, 사용자의 컴퓨터 메모리를 가득 채워 프로그램을 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
httplib2 is a comprehensive HTTP client library for Python. Prior to 0.32.0, httplib2 performs unbounded decompression of HTTP response bodies encoded with Content-Encoding: gzip or deflate in _decompressContent in httplib2/init.py, allowing a malicious or compromised HTTP server to return a small compressed payload that expands to an arbitrarily large size in memory and causes MemoryError or OOM-kill in the client process. This issue is fixed in version 0.32.0.
📍 영향받는 시스템
httplib2 < 0.32.0
⚔️ 공격 벡터
악의적인 HTTP 서버가 압축 해제 시 메모리 폭발을 유도하는 특수하게 제작된 응답 본문을 클라이언트에 전송
🛡️ 대응 방법
httplib2 라이브러리를 0.32.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 0.32.0 미만이면 취약한 상태입니다.
pip show httplib2 | grep Version