🇰🇷 한글 설명
Http4s의 ResourceService 및 WebjarService에서 URL 경로 세그먼트를 디코딩할 때 보안 검증이 미흡하여 발생하는 경로 탐색(Path Traversal) 취약점입니다. 공격자가 퍼센트 인코딩된 슬래시(/)나 백슬래시(\)를 사용하면 설정된 베이스 디렉토리를 벗어나 클래스패스 또는 WebJar 리소스에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트 주소에 특수하게 암호화된 기호를 섞어 보내면, 서버가 이를 제대로 검사하지 못하고 허용되지 않은 내부 파일까지 보여주는 문제입니다. 이를 통해 공격자는 원래 접근해서는 안 되는 중요한 시스템 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
Http4s is a Scala interface for HTTP services. Prior to 0.23.35 and 1.0.0-M47, ResourceService and WebjarService decode each URL path segment but reject only segments exactly equal to an empty string, a dot, or two dots. A request containing percent-encoded slash or backslash separators can turn an accepted segment into a parent-directory traversal after decoding, allowing access to classpath or WebJar resources outside the configured base when a directory-backed classpath is served and the backend preserves the encoded separator. The patch rejects decoded segments containing slash or backslash in ResourceService and WebjarService, and applies the same guard to the non-exploitable FileService for consistency. This issue is fixed in versions 0.23.35 and 1.0.0-M47.
📍 영향받는 시스템
Http4s 0.23.35 미만 및 1.0.0-M47 미만 버전
⚔️ 공격 벡터
퍼센트 인코딩된 슬래시(/) 또는 백슬래시(\)를 포함한 URL 경로를 전송하여 경로 탐색 공격 수행
🛡️ 대응 방법
Http4s를 0.23.35 또는 1.0.0-M47 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 http4s 관련 라이브러리의 버전이 0.23.35 또는 1.0.0-M47보다 낮은지 확인
sbt dependencyList | grep -E 'http4s-core|http4s-client'