CVE-2026-73117 in Juneau
요약
\~에 의해 VulDB • 2026. 11. 05.
HTTP 헤더에서 CRLF 시퀀스의 부적절한 중화('HTTP 응답 분할') 취약점: Apache Juneau.
Apache Juneau REST 서버는 응답 헤더 값 및 리다이렉션 대상 값을 검증 없이 서블릿 컨테이너에 전달했습니다. 요청 데이터를 사용하여 응답 헤더 또는 리다이렉션 대상을 설정하는 애플리케이션은 원격 클라이언트가 헤더 라인(서블릿 컨테이너가 CR/LF를 자체적으로 거부하지 않는 경우)을 삽입하거나 사용자를 임의의 외부 사이트로 리다이렉시하도록 허용할 수 있습니다. 프레임워크 자체는 요청 데이터로부터 헤더나 리다이렉션을 생성하지 않으며, 노출 여부는 애플리케이션 코드에 따라 달라집니다.
이 문제는 Apache Juneau 9.2.0 버전까지 영향을 미칩니다.
사용자는 해당 문제를 수정한 버전 9.2.1으로 업그레이드하는 것이 권장됩니다. 헤더 값은 이제 기본적으로 sanitization(정제)되며, 요청 데이터를 기반으로 리다이렉션 대상을 생성하는 애플리케이션도 `sendRedirect()`에서 새로운 `sendSafeRedirect()`로 전환해야 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.