🇰🇷 한글 설명
cURL/libcurl 7.18.0~7.32.0 버전에서 OpenSSL 사용 시, 디지털 서명 검증(CURLOPT_SSL_VERIFYPEER) 비활성화 시 인증서 CN/SAN 필드 검증(CURLOPT_SSL_VERIFYHOST)도 함께 비활성화되는 취약점입니다. 이로 인해 중간자 공격자가 임의의 유효한 인증서로 SSL 서버를 스푸핑할 수 있습니다.
💡 쉬운 설명
cURL이 SSL 인증서를 제대로 확인하지 않아 가짜 웹사이트가 진짜처럼 보이는 문제입니다. 해커가 중간에서 당신의 통신을 도청하고 조작할 수 있습니다.
🇺🇸 원문 (English)
cURL and libcurl 7.18.0 through 7.32.0, when built with OpenSSL, disables the certificate CN and SAN name field verification (CURLOPT_SSL_VERIFYHOST) when the digital signature verification (CURLOPT_SSL_VERIFYPEER) is disabled, which allows man-in-the-middle attackers to spoof SSL servers via an arbitrary valid certificate.
📍 영향받는 시스템
cURL/libcurl 7.18.0 ~ 7.32.0 (OpenSSL 빌드)
⚔️ 공격 벡터
중간자(MITM) 공격으로 위조된 SSL 인증서를 이용한 서버 스푸핑
🛡️ 대응 방법
7.33.0 이상 버전으로 업그레이드 또는 CURLOPT_SSL_VERIFYPEER와 CURLOPT_SSL_VERIFYHOST를 명시적으로 활성화
🔧 검증 코드
명령어 결과가 7.18~7.32 범위 버전을 출력하면 취약하고, 7.33 이상이면 안전합니다.
curl --version | grep -oE 'curl 7\.[0-9]+' | grep -E '7\.(1[8-9]|2[0-9]|3[0-2])'