🇰🇷 한글 설명
Tweepy 라이브러리가 X.509 인증서의 Common Name(CN) 또는 subjectAltName 필드와 서버 호스트네임의 일치 여부를 검증하지 않습니다. 이로 인해 공격자가 유효한 인증서를 사용하여 SSL 서버를 사칭하는 중간자 공격(MITM)을 수행할 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 접속하려는 사이트가 진짜인지 확인하는 과정에 허점이 있습니다. 해커가 가짜 사이트를 진짜처럼 속여서 사용자의 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Tweepy does not verify that the server hostname matches a domain name in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-the-middle attackers to spoof SSL servers via an arbitrary valid certificate, related to use of the Python httplib library.
📍 영향받는 시스템
Python httplib 라이브러리를 사용하는 Tweepy 라이브러리 구버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 SSL 서버 사칭
🛡️ 대응 방법
Tweepy 라이브러리를 최신 버전으로 업데이트하거나 호스트네임 검증이 포함된 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 Tweepy 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
pip show tweepy | grep Version