🇰🇷 한글 설명
PayPal Payments Standard PHP Library가 SSL/TLS 인증서의 호스트명을 검증하지 않는 취약점입니다. 'FALSE' 값으로 인증서 검증이 의도적으로 비활성화되어 중간자 공격이 가능합니다.
💡 쉬운 설명
PayPal 결제 라이브러리가 웹사이트 신원을 확인하지 않아, 해커가 위조된 PayPal 서버로 위장할 수 있습니다. 사용자의 결제 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
PayPal Payments Standard PHP Library before 20120427 does not verify that the server hostname matches a domain name in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-the-middle attackers to spoof SSL servers via an arbitrary valid certificate, related to intentional disabling of certificate-validation checks through a "FALSE" value.
📍 영향받는 시스템
PayPal Payments Standard PHP Library 버전 20120427 이전 모든 버전
⚔️ 공격 벡터
공격자가 네트워크를 제어하여 사용자 트래픽을 자신의 서버로 리다이렉트하고, 유효한 인증서로 SSL 연결을 완료한 후 결제 정보를 가로챔
🛡️ 대응 방법
PayPal Payments Standard PHP Library를 20120427 이후 버전으로 즉시 업데이트하거나, 코드에서 CURLOPT_SSL_VERIFYPEER와 CURLOPT_SSL_VERIFYHOST를 활성화
🔧 검증 코드
FALSE 값이 표시되면 취약점 존재, 출력이 없으면 검증이 활성화된 상태입니다.
grep -r "CURLOPT_SSL_VERIFYPEER.*FALSE\|CURLOPT_SSL_VERIFYHOST.*FALSE" . 2>/dev/null