🇰🇷 한글 설명
Apache APISIX의 HTTP 요청/응답 해석 불일치로 인한 HTTP 요청 변조(Request Smuggling) 취약점입니다. 공격자가 서버리스 플러그인 경로를 통해 다른 사용자의 응답을 가로채거나 조작된 응답을 전달할 수 있습니다.
💡 쉬운 설명
서버가 들어오는 요청을 읽는 방식의 차이를 이용해 공격자가 몰래 명령을 끼워 넣는 문제입니다. 이를 통해 다른 사용자가 받아야 할 정보를 공격자가 가로챌 수 있습니다.
🇺🇸 원문 (English)
Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') vulnerability in Apache APISIX.
An attacker could make other clients receive attacker-chosen or other users' responses on serverless-plugin routes.
This issue affects Apache APISIX: from 2.12.0 through 3.17.0.
Users are recommended to upgrade to version 3.18.0, which fixes the issue.
📍 영향받는 시스템
Apache APISIX 2.12.0 ~ 3.17.0 버전
⚔️ 공격 벡터
HTTP 요청/응답 해석의 불일치를 이용한 HTTP Request/Response Smuggling 공격
🛡️ 대응 방법
Apache APISIX를 취약점이 해결된 3.18.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 3.18.0 미만 버전이 출력되면 취약한 상태이며, 3.18.0 이상이 출력되면 안전합니다.
apisix --version | grep -E '3\[\.(1[8-9]|[2-9][0-9])\.0|2\.[1-9][0-9]\.[0-9]'