ssh-pur66/afterimage공개된 urllib3 이슈에 대한 패치-디프 연구: 고정된 릴리스, 원본 오프라인 하네스, 변경 전/후 동작 및 무해한 대조군.
제작 및 유지 관리: Sergio Rodriguez (SSH-PuR66). 실험 하네스와 분석은 제가 직접 수행했습니다. 공개된 취약점, urllib3 코드, 업스트림 수정 사항은 원래의 출처 표기를 유지합니다.
저자의 연구 방법 · 리다이렉트 하네스 · 청크 프레이밍 연구
리다이렉트는 목적지를 변경하지만 세 개의 민감한 헤더는 그대로 붙어 있습니다. 프레이밍 파서는 다음 릴리스에서 거부하는 입력을 받아들입니다. Afterimage는 공개된 프로토콜 수정 사항을 작고 검사 가능한 전후 실험으로 바꿉니다.
저는 고정된, 수정되지 않은 urllib3 릴리스를 기반으로 하네스와 대조 사례를 구축했습니다. 각 결과는 패키지 해시, 캡처된 동작, 픽스처 경계, 업스트림 출처를 기록합니다.
| 연구 | 비교 릴리스 | 기록된 코퍼스 | 검사 |
|---|---|---|---|
| 리다이렉트 헤더 경계 · CVE-2026-44431 | urllib3 2.6.3 / 2.7.0 | 영향을 받는 동작과 무해한 대조를 포함한 12개 사례 | 결과 · 하네스 |
| 청크 프레이밍 · CVE-2026-97689 | urllib3 2.7.0 / 2.8.0 | 경계가 정해진 32개 오프라인 사례 | 방법 및 결과 |
연구 유형: 공개된 이슈의 독립적 재현. 측정된 경계: 라이브러리 인자 처리 및 메모리 내 프레이밍 동작. 애플리케이션 수준의 악용 가능성과 리소스 고갈은 이 픽스처 결과의 범위를 벗어납니다.
CVE-2026-44431 · urllib3 2.6.3 → 2.7.0 · 2026년 9월 27일 재현
하나의 요청이 세 개의 민감한 헤더를 한 오리진으로 전달합니다. 리다이렉트가 목적지를 변경합니다. 다음 요청에도 여전히 이 헤더들이 실려 있을까요?
이 독립적 회귀 테스트는 두 개의 정확한 urllib3 릴리스에서 실제 리다이렉트 구현을 실행합니다. 버전 2.6.3은 영향을 받는 저수준 API를 통해 세 헤더를 모두 유지합니다. 버전 2.7.0은 이를 제거합니다. 무해한 헤더는 살아남고, 일반 요청도 여전히 작동합니다.
| 픽스처 | urllib3 2.6.3 | urllib3 2.7.0 |
|---|---|---|
| 저수준 교차 오리진 리다이렉트 | 민감한 헤더 3개 유지 | 0개 유지 |
| 소문자 이름을 사용한 동일 사례 | 3개 유지 | 0개 유지 |
| 고수준 API 대조 | 0개 유지 | 0개 유지 |
| 직접 200 응답 | 의도대로 3개 유지 | 의도대로 3개 유지 |
| 리다이렉트 명시적 비활성화 | 한 번 호출; 302 반환 | 한 번 호출; 302 반환 |
| 사용자 지정 제거 집합에 무해한 마커 추가 | 4개 헤더 모두 유지 | 4개 모두 제거 |
12/12 시나리오 기대치 통과. 각 시나리오는 응답 상태, 전송 호출 횟수, 초기 헤더 집합, 무해한 헤더 결과, 그리고 호출자의 헤더가 변경되지 않았는지도 확인합니다. 취약한 결과는 기대되는 기준선 결과이며, 통과하는 보안 검사가 아닙니다.
기계 판독 가능 결과에는 캡처된 인자, 정확한 wheel 해시, 런타임, 테스트 소스 해시, 출처, 재현 시간이 포함됩니다.
2026년 5월 7일에 공개된 업스트림 권고는 urllib3의 프록시 저수준 리다이렉트 경로에서 정보 노출 문제를 식별합니다. 이 권고는 >=1.23, <2.7.0 버전을 영향을 받는 것으로 나열합니다. ProxyManager.connection_from_url(...).urlopen(..., assert_same_host=False)를 호출하면 구성된 민감한 헤더가 다른 오리진으로의 리다이렉트된 요청에 실려 갈 수 있었습니다. 고수준 매니저 API는 이미 이들을 제거하고 있었습니다.
업스트림 수정은 재귀적 저수준 요청 전에 Retry.remove_headers_on_redirect를 적용합니다. 저희의 소문자 헤더 사례는 헤더 이름 대소문자에 대한 업스트림 회귀 테스트의 주의를 따릅니다. 사용자 지정 제거 사례는 규칙이 세 가지 기본 이름에 그치지 않고 구성된 집합을 존중하는지 확인합니다.
보안 권고는 christos-cantina-security를 보고자로, illia-v를 조정자로, sethmlarson을 수정 검토자로 명시하고 있습니다. 이곳에서 Sergio Rodriguez의 기여는 독립적인 오프라인 하네스와 전후 분석입니다. 이는 그들이 공개한 CVE의 재현입니다.
Python 3.10 이상을 사용하십시오. pip install이나 가상 환경은 필요하지 않습니다. 각 버전은 새로 격리된 서브프로세스에서 순수 Python 휠로부터 직접 임포트됩니다.
포트폴리오 저장소 루트에서:
python -B ./labs/cve-replay/run_replay.py --fetch
python -B ./labs/cve-replay/run_replay.py
첫 번째 명령은 두 개의 정확한 wheel을 랩의 무시된 .cache/wheels/ 디렉터리에 다운로드하고 매니페스트와 대조하여 SHA-256 해시를 검증합니다. 두 번째 명령은 다운로드 없이 해당 캐시를 사용합니다. 독립 실행형 소스 체크아웃의 경우 python -B run_replay.py --fetch를 실행한 다음 --fetch 없이 동일한 명령을 실행합니다. --cache는 다른 로컬 캐시 디렉터리를 지정할 수 있습니다.
HTTPConnectionPool._make_request는 두 개의 응답을 반환하는 전송 계층으로 대체됩니다: 고정된 location을 가진 302, 그다음 200입니다. 픽스처는 해당 경계에 도달하는 인자를 캡처합니다. urllib3의 파싱, 재시도 정책, 헤더 필터링, 재귀적 리다이렉트 처리는 선택된 wheel에서 변경 없이 실행됩니다.
모든 목적지는 고정된 예약 .invalid 이름이며, 모든 헤더 값은 DUMMY로 시작합니다. 소켓 생성과 DNS 함수는 즉시 예외를 발생시킵니다. 라이브러리의 임포트 시점 IPv6 기능 탐지는 거부되고 별도로 기록되며, 리플레이 시나리오는 네트워크 작업을 시도하지 않습니다. 수신 대기 중인 서버나 라이브 대상은 없습니다.
이는 리다이렉트 인자 처리를 검증합니다. 종단 간 프록시 트래픽을 측정하지는 않습니다. 버전 2.7.0은 이 특정 CVE에 대한 첫 번째 수정 버전입니다. 이 역사적 비교는 더 최신의 지원되는 릴리스 대신 해당 버전을 선택하라는 권장 사항이 아닙니다.
픽스처 스크립트와 분석은 독자적인 포트폴리오 작업물입니다. urllib3는 MIT 라이선스에 따라 배포되는 업스트림 프로젝트이며, 해당 코드와 릴리스 wheel은 포트폴리오 소스 아카이브에 재배포되지 않습니다. 이들은 PyPI에서 별도로 다운로드되어 실험을 위해 변경 없이 임포트됩니다.