🇰🇷 한글 설명
libcurl에서 HTTP Referer 헤더를 명시적으로 삭제하려 해도 내부 상태가 초기화되지 않는 취약점이 발견되었습니다. CURLOPT_REFERER 옵션에 NULL을 전달해도 이전의 Referer 문자열이 유지되어, 의도치 않은 서버로 민감한 정보가 유출될 수 있습니다.
💡 쉬운 설명
웹사이트를 이용할 때 이전 주소를 알려주는 정보가 삭제되지 않고 계속 따라가는 문제입니다. 이로 인해 사용자가 방문했던 이전 페이지의 주소나 개인정보가 다른 사이트에 몰래 전달될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in libcurl caused the HTTP `Referer:` header to persist even
when explicitly cleared. While the documentation states that passing NULL to
`CURLOPT_REFERER` suppresses the header, the option failed to clear the
internal state. As a result, the previous referrer string was erroneously
reused and sent in subsequent requests, potentially leaking sensitive
information to unintended servers.
📍 영향받는 시스템
libcurl (CURLOPT_REFERER를 사용하여 헤더를 제어하는 모든 버전)
⚔️ 공격 벡터
이전 요청에서 사용된 Referer 헤더가 다음 요청에 자동으로 포함되어 민감한 URL 정보가 유출됨
🛡️ 대응 방법
libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 libcurl 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 공지와 대조하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.