🇰🇷 한글 설명
OpenStack Oslo의 python-qpid 클라이언트가 qpid_protocol을 ssl로 설정해도 실제로 SSL 연결을 강제하지 않는 취약점입니다. 이로 인해 원격 공격자가 네트워크 트래픽을 도청하여 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
OpenStack 시스템에서 보안 통신(SSL)을 사용한다고 설정했지만 실제로는 보안 없이 통신하는 문제입니다. 악의적인 사람이 네트워크에 연결되어 있으면 중요한 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
The python-qpid client (common/rpc/impl_qpid.py) in OpenStack Oslo before 2013.2 does not enforce SSL connections when qpid_protocol is set to ssl, which allows remote attackers to obtain sensitive information by sniffing the network.
📍 영향받는 시스템
OpenStack Oslo 2013.2 이전 버전, python-qpid 클라이언트 사용 시스템
⚔️ 공격 벡터
네트워크상에서 패킷을 도청하여 qpid 프로토콜 통신 내용 캡처
🛡️ 대응 방법
OpenStack Oslo를 2013.2 이상으로 업그레이드하거나 SSL 연결 강제 코드 패치 적용
🔧 검증 코드
설치된 oslo.messaging 버전이 2013.2 이상인지 확인하면 됩니다. (버전명이 날짜 기반인 경우 2013.2 또는 그 이후 숫자 확인)
pip show oslo.messaging 2>/dev/null | grep Version || echo 'Package not installed'