🇰🇷 한글 설명
guzzlehttp/guzzle 7.15.1 미만 버전의 CookieJar에서 크기 제한 없이 무제한의 Set-Cookie 헤더를 수용하여 서비스 거부(DoS) 취약점이 발생합니다. 공격자가 악의적인 서버를 통해 대량의 대형 쿠키를 반환하면, Guzzle이 과도한 메모리를 사용하거나 비정상적으로 큰 쿠키 헤더를 생성하여 핸들러나 대상 서버에서 오류를 일으킬 수 있습니다.
💡 쉬운 설명
나쁜 서버가 아주 많은 양의 쿠키를 보내면 프로그램이 이를 모두 저장하려다 메모리가 꽉 차서 멈춰버리는 문제입니다. 이로 인해 서비스가 중단되거나 서버에 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
guzzlehttp/guzzle versions before 7.15.1 contain a denial of service vulnerability in the CookieJar that accepts unlimited Set-Cookie header fields with no size restrictions. Attackers can return many large cookies from a malicious server, causing Guzzle to store excessive data in memory and generate oversized Cookie headers that fail in handlers or destination servers.
📍 영향받는 시스템
guzzlehttp/guzzle versions before 7.15.1
⚔️ 공격 벡터
악의적인 서버가 응답 헤더에 제한 없는 크기와 개수의 Set-Cookie 필드를 포함하여 전송
🛡️ 대응 방법
guzzlehttp/guzzle 버전을 7.15.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 7.15.1 미만인지 확인
composer show guzzlehttp/guzzle | grep 'versions'