🇰🇷 한글 설명
neon 라이브러리에서 X.509 인증서의 도메인명(CN) 필드에 포함된 null 문자(\0)를 제대로 처리하지 못해 발생하는 취약점입니다. 공격자가 정상 인증기관으로부터 발급받은 변조된 인증서로 SSL 서버를 위장할 수 있으며, 이는 CVE-2009-2408과 유사한 문제입니다.
💡 쉬운 설명
웹사이트 보안 확인(SSL 인증서) 검증이 제대로 작동하지 않아서 가짜 웹사이트가 진짜 웹사이트로 인식될 수 있습니다. 공격자가 이를 악용하여 사용자를 속이고 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
neon before 0.28.6, when OpenSSL or GnuTLS is used, does not properly handle a '\0' character in a domain name in the subject's Common Name (CN) field of an X.509 certificate, which allows man-in-the-middle attackers to spoof arbitrary SSL servers via a crafted certificate issued by a legitimate Certification Authority, a related issue to CVE-2009-2408.
📍 영향받는 시스템
neon 0.28.6 이전 버전 (OpenSSL 또는 GnuTLS 사용)
⚔️ 공격 벡터
중간자(MITM) 공격으로 null 문자가 포함된 변조된 SSL 인증서 제시
🛡️ 대응 방법
neon을 0.28.6 이상으로 업그레이드
🔧 검증 코드
설치된 neon 패키지 버전이 0.28.6 이상인지 확인; 이전 버전이면 패치 필요
dpkg -l 2>/dev/null | grep libneon || rpm -qa 2>/dev/null | grep neon