🇰🇷 한글 설명
Tornado 6.5.7 미만 버전의 CurlAsyncHTTPClient에서 pycurl 핸들을 재사용할 때 상태가 제대로 초기화되지 않아 자격 증명이 유출되는 취약점이 존재합니다. 공격자는 동일한 클라이언트 인스턴스를 통해 요청을 보냄으로써 TLS 인증서나 프록시 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
인터넷 연결 도구가 이전 사용자의 비밀번호나 인증 정보를 깨끗이 지우지 않고 다음 사람에게 전달하는 문제입니다. 이를 통해 공격자가 사용자의 중요한 인증 정보를 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Tornado before 6.5.7 contains a credential leak vulnerability in CurlAsyncHTTPClient where pycurl handles are reused across requests without proper state clearing. Attackers can obtain sensitive credentials by issuing requests through the same client instance, allowing TLS certificates or proxy authentication to persist across unintended requests.
📍 영향받는 시스템
Tornado versions before 6.5.7
⚔️ 공격 벡터
동일한 CurlAsyncHTTPClient 인스턴스를 공유하는 환경에서 의도적으로 설계된 요청을 보내 이전 요청의 인증 정보를 탈취
🛡️ 대응 방법
Tornado 버전을 6.5.7 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 6.5.7보다 낮은지 확인
pip show tornado | grep Version