🇰🇷 한글 설명
OpenStack keystonemiddleware 0.11.0 이전과 1.2.0 이전 버전에서 paste.ini의 'insecure' 옵션이 값에 관계없이 인증서 검증을 무조건 비활성화합니다. 이로 인해 원격 공격자가 조작된 인증서로 중간자 공격을 수행하여 통신 내용을 탈취하거나 변조할 수 있습니다.
💡 쉬운 설명
OpenStack 인증 시스템이 보안 설정을 잘못 처리하여, 공격자가 네트워크 통신을 가로채고 가짜 인증서로 사용자를 속일 수 있습니다. 결과적으로 암호나 인증 토큰 같은 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
OpenStack keystonemiddleware (formerly python-keystoneclient) 0.x before 0.11.0 and 1.x before 1.2.0 disables certification verification when the "insecure" option is set in a paste configuration (paste.ini) file regardless of the value, which allows remote attackers to conduct man-in-the-middle attacks via a crafted certificate.
📍 영향받는 시스템
keystonemiddleware 0.x (0.11.0 미만), 1.x (1.2.0 미만)
⚔️ 공격 벡터
paste.ini 설정 파일의 insecure 옵션을 통해 TLS/SSL 인증서 검증 비활성화
🛡️ 대응 방법
keystonemiddleware를 0.11.0 또는 1.2.0 이상으로 업그레이드
🔧 검증 코드
설치된 버전이 0.11.0 이상(0.x 계열) 또는 1.2.0 이상(1.x 계열)이면 패치됨
pip show keystonemiddleware | grep Version | awk '{print $2}'