HEAD 요청은 몸통이 없다는 규칙을 깜빡한 대가 — OpenResty 요청 스머글링
연구자가 사내 침투 테스트 도중 우연히 발견한 결함이 OpenResty의 lua-nginx-module 전반에 영향을 주는 HTTP 요청 스머글링으로 이어졌습니다. 원인은 아주 단순한 규칙 하나 — "HEAD 요청에는 원래 처리할 몸통(body)이 없다" — 를 코드 한 곳이 깜빡한 것이었습니다.
← 전체 글
태그: request-smuggling
Bugbounty · CVE-2024-33452
CVE · CVE-2023-46747
앞단이 지운 헤더를 뒷단이 다시 읽어버린 대가 — F5 BIG-IP 관리자 탈취
보안 업체 Praetorian의 연구팀이 F5 BIG-IP의 관리 인터페이스(TMUI)를 대상으로 능동적인 취약점 리서치를 진행하던 중, 프런트엔드 Apache와 백엔드 Tomcat이 같은 요청을 서로 다르게 해석하는 틈을 찾아냈습니다. 이 틈을 이용하면 로그인 절차 없이도 임의의 관리자 계정을 만들 수 있었고, 이 결함은 CVE-2023-46747로 등록됐습니다. 두 프로세스 사이의 인증 책임 분담이 얼마나 쉽게 무너지는지 보여주는 사례입니다.