🇰🇷 한글 설명
guzzlehttp/guzzle 7.14.2 미만 버전에서 cURL 핸들러가 Proxy-Authorization 헤더를 원본 서버로부터 적절히 격리하지 못하는 취약점이 발견되었습니다. 공격자는 요청이 리다이렉트되거나 SOCKS 프록시가 직접 연결로 잘못 분류될 때, 원본 서버의 액세스 로그를 통해 프록시 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
인터넷을 사용할 때 사용하는 프록시 비밀번호가 다른 사이트로 연결되는 과정에서 유출될 수 있는 문제입니다. 해커가 이 비밀번호를 가로채면 사용자의 네트워크 권한을 악용할 수 있습니다.
🇺🇸 원문 (English)
guzzlehttp/guzzle versions before 7.14.2 fail to properly isolate Proxy-Authorization headers from origin servers in cURL handlers. Attackers can capture proxy credentials through origin server access logs when requests are redirected, bypassed, or sent through SOCKS proxies that Guzzle misclassifies as direct connections.
📍 영향받는 시스템
guzzlehttp/guzzle versions < 7.14.2
⚔️ 공격 벡터
리다이렉트 또는 프록시 오분류를 이용한 Proxy-Authorization 헤더 탈취
🛡️ 대응 방법
guzzlehttp/guzzle 버전을 7.14.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 7.14.2 미만인지 확인
composer show guzzlehttp/guzzle | grep 'versions'