🇰🇷 한글 설명
urllib3 2.6.3 버전의 스트리밍 API에서 Brotli 압축 해제 시 max_length 보호 기능이 우회되는 취약점이 발견되었습니다. 공격자가 조작된 HTTP 응답을 보내면 압축 해제 과정에서 메모리가 과도하게 사용되어 시스템이 중단될 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 크기 제한을 확인해야 하는데, 이 제한을 무시하고 무제한으로 풀게 만드는 버그가 있습니다. 이를 통해 공격자는 컴퓨터의 메모리를 가득 채워 서비스를 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
urllib3 version 2.6.3 is vulnerable to a decompression bomb bypass in its streaming API (`preload_content=False`) when using Brotli support. The issue arises due to three independent code paths in `response.py` that bypass the `max_length` protection introduced in version 2.6.0 to mitigate CVE-2025-66471. Specifically, negative `max_length` values can be produced due to buffer arithmetic in `read()`, `flush_decoder` unconditionally overrides `max_length` to `-1`, and `_flush_decoder()` passes no limit at all, defaulting to unlimited decompression. This allows a malicious HTTP server to trigger an out-of-memory (OOM) condition by decompressing large payloads into memory, leading to a denial of service (DoS). The vulnerability affects urllib3 2.6.3 and Brotli 1.2.0 and impacts applications and libraries using `requests` or `urllib3` to stream content from untrusted sources.
📍 영향받는 시스템
urllib3 2.6.3, Brotli 1.2.0 및 이를 사용하는 requests 라이브러리 기반 애플리케이션
⚔️ 공격 벡터
신뢰할 수 없는 서버로부터 조작된 Brotli 압축 페이로드를 스트리밍 방식으로 수신
🛡️ 대응 방법
urllib3를 최신 보안 패치 버전으로 업데이트하거나 Brotli 지원 설정을 검토하십시오.
🔧 검증 코드
출력된 버전이 2.6.3인지 확인하여 취약 여부를 판단합니다.
pip show urllib3 | grep Version
📊 CVSS Vector String
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server