ssh-pur66/afterimage게시된 urllib3 수정 사항에 대한 독립적인 오프라인 프로토콜 경계 회귀 테스트로, 고정된 릴리스와 업스트림 출처 표기를 포함합니다.
이전에는 CVE Replay로 공개되었다. 저장소 이름과 프레젠테이션이 변경되었으나, 고정된 릴리스, 원래 보고자 출처, 픽스처 경로, 기록된 결과는 원래의 정체성을 유지한다.
독립적인 오프라인 연구는 정확한 릴리스와 경계가 정해진 픽스처를 사용하여 공개된 수정 사항을 비교한다. 각 연구는 측정된 동작, 전송 경계, 출처를 명시적으로 유지한다.
CVE-2026-44431 · urllib3 2.6.3 → 2.7.0 · 2026년 9월 27일 재현
하나의 요청이 세 개의 민감한 헤더를 하나의 오리진으로 전달한다. 리다이렉트가 목적지를 변경한다. 다음 요청이 여전히 이들을 전달하는가?
이 독립적 회귀 테스트는 두 개의 정확한 urllib3 릴리스에서 실제 리다이렉트 구현을 실행한다. 버전 2.6.3은 영향을 받는 저수준 API를 통해 세 개의 헤더를 모두 유지한다. 버전 2.7.0은 이들을 제거한다. 무해한 헤더는 살아남고, 일반 요청은 여전히 작동한다.
| 픽스처 | urllib3 2.6.3 | urllib3 2.7.0 |
|---|---|---|
| 저수준 교차 오리진 리다이렉트 | 민감한 헤더 3개 유지 | 0개 유지 |
| 소문자 이름을 사용한 동일 사례 | 3개 유지 | 0개 유지 |
| 고수준 API 대조 | 0개 유지 | 0개 유지 |
| 직접 200 응답 | 의도대로 3개 유지 | 의도대로 3개 유지 |
| 리다이렉트 명시적 비활성화 | 한 번 호출; 302 반환 | 한 번 호출; 302 반환 |
| 사용자 정의 제거 집합에 무해한 마커 추가 | 4개 헤더 모두 유지 | 4개 모두 제거 |
12/12 시나리오 기대치 통과. 각 시나리오는 또한 응답 상태, 전송 호출 횟수, 초기 헤더 집합, 무해한 헤더 결과, 그리고 호출자의 헤더가 변경되지 않았는지도 검사한다. 취약한 결과는 통과하는 보안 검사가 아니라 예상된 기준선 결과이다.
기계 판독 가능 결과에는 캡처된 인수, 정확한 wheel 해시, 런타임, 테스트 소스 해시, 출처, 재현 시간이 포함된다.
2026년 5월 7일에 공개된 업스트림 권고는 urllib3의 프록시된 저수준 리다이렉트 경로에서 정보 노출 문제를 식별한다. 버전 >=1.23, <2.7.0을 영향을 받는 것으로 나열한다. ProxyManager.connection_from_url(...).urlopen(..., assert_same_host=False)를 호출하면 구성된 민감한 헤더가 다른 오리진으로의 리다이렉트된 요청으로 전달될 수 있었다. 고수준 관리자 API는 이미 이들을 제거하고 있었다.
업스트림 수정은 재귀적 저수준 요청 전에 Retry.remove_headers_on_redirect를 적용한다. 우리의 소문자 헤더 사례는 헤더 이름 대소문자에 대한 업스트림 회귀 테스트의 주의를 따른다. 사용자 정의 제거 사례는 규칙이 세 가지 기본 이름만이 아니라 구성된 집합을 존중하는지 검사한다.
권고는 christos-cantina-security를 보고자로, illia-v를 조정자로, sethmlarson을 수정 검토자로 명시한다. Sergio Rodriguez의 기여는 독립적인 오프라인 하네스와 전후 분석이다. 이는 그들이 공개한 CVE의 재현이다.
Python 3.10 이상을 사용하라. pip 설치나 가상 환경은 필요하지 않다: 각 버전은 새로운 격리된 서브프로세스에서 순수 Python wheel로부터 직접 임포트된다.
포트폴리오 저장소 루트에서:
python -B ./labs/cve-replay/run_replay.py --fetch
python -B ./labs/cve-replay/run_replay.py
첫 번째 명령은 두 개의 정확한 wheel을 랩의 무시된 .cache/wheels/ 디렉터리로 다운로드하고 매니페스트에 대해 SHA-256 해시를 검사한다. 두 번째 명령은 다운로드 없이 해당 캐시를 사용한다. 독립 실행형 소스 체크아웃의 경우 python -B run_replay.py --fetch를 실행한 다음 --fetch 없이 동일한 명령을 실행하라. --cache는 다른 로컬 캐시 디렉터리를 허용한다.
HTTPConnectionPool._make_request는 두 개의 응답 전송으로 대체된다: 고정된 위치를 가진 302, 그다음 200. 픽스처는 해당 경계에 도달하는 인수를 캡처한다. urllib3의 파싱, 재시도 정책, 헤더 필터링, 재귀적 리다이렉트 처리는 선택된 wheel로부터 변경 없이 실행된다.
모든 목적지는 고정된 예약된 .invalid 이름이다; 모든 헤더 값은 DUMMY로 시작한다. 소켓 생성과 DNS 함수는 즉시 예외를 발생시킨다. 라이브러리의 임포트 시점 IPv6 기능 프로브는 거부되고 별도로 기록된다; 재현 시나리오는 네트워크 작업을 시도하지 않는다. 수신 서버나 라이브 대상은 없다.
이는 리다이렉트 인수 처리를 검증한다. 종단 간 프록시 트래픽을 측정하지는 않는다. 버전 2.7.0은 이 특정 CVE에 대한 첫 번째 수정이다; 이 역사적 비교는 더 새로운 지원 릴리스 대신 이를 선택하라는 권장이 아니다.
픽스처 스크립트와 분석은 원본 포트폴리오 작업이다. urllib3는 MIT 라이선스에 따라 배포되는 업스트림 프로젝트이다; 그 코드와 릴리스 wheel은 포트폴리오 소스 아카이브에 재배포되지 않는다. 이들은 PyPI에서 별도로 다운로드되어 실험을 위해 변경 없이 임포트된다.