🇰🇷 한글 설명
Apache Qpid 2.2 이전 버전의 Python 클라이언트가 SSL 서버 인증서의 호스트명 검증을 제대로 수행하지 않아 공격자가 유효한 인증서로 중간자 공격을 수행할 수 있는 취약점입니다. 서버의 CN(Common Name) 또는 subjectAltName 필드가 실제 연결 대상 호스트명과 일치하는지 확인하지 않습니다.
💡 쉬운 설명
Qpid 프로그램이 은행 앱처럼 보이는 가짜 서버로 연결되도록 속을 수 있습니다. 정품 은행 인증서를 훔친 공격자가 그걸로 자기 서버를 꾸며 정보를 탈취할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
The Python client in Apache Qpid before 2.2 does not verify that the server hostname matches a domain name in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-the-middle attackers to spoof SSL servers via an arbitrary valid certificate.
📍 영향받는 시스템
Apache Qpid Python client < 2.2
⚔️ 공격 벡터
네트워크 위치에서 DNS 스푸핑 또는 ARP 스푸핑으로 트래픽을 가로채 유효한 인증서로 MITM 공격 수행
🛡️ 대응 방법
Apache Qpid를 2.2 이상으로 업그레이드하거나 SSL/TLS 호스트명 검증을 적용
🔧 검증 코드
버전이 2.2 미만이면 취약하며, 해당 패키지가 설치되지 않았다면 이 취약점의 직접적인 영향을 받지 않음
pip list 2>/dev/null | grep -i qpid