🇰🇷 한글 설명
Ruby의 OpenSSL 확장 모듈 내 verify_certificate_identity 함수가 호스트 이름을 적절히 검증하지 못하는 취약점입니다. 이로 인해 다중 와일드카드, IDNA 이름 내 와일드카드, 대소문자 구분 및 비 ASCII 문자를 이용한 서버 스푸핑 공격이 가능합니다.
💡 쉬운 설명
인터넷 연결 시 접속하려는 사이트가 진짜인지 확인하는 과정에서 이름 검사를 제대로 하지 못하는 문제입니다. 공격자가 가짜 사이트를 진짜처럼 속여서 사용자를 유인할 수 있습니다.
🇺🇸 원문 (English)
verify_certificate_identity in the OpenSSL extension in Ruby before 2.0.0 patchlevel 645, 2.1.x before 2.1.6, and 2.2.x before 2.2.2 does not properly validate hostnames, which allows remote attackers to spoof servers via vectors related to (1) multiple wildcards, (1) wildcards in IDNA names, (3) case sensitivity, and (4) non-ASCII characters.
📍 영향받는 시스템
Ruby 2.0.0 patchlevel 645 미만, 2.1.x (2.1.6 미만), 2.2.x (2.2.2 미만) 버전
⚔️ 공격 벡터
잘못된 호스트 이름 검증을 악용한 서버 스푸핑 및 중간자 공격(MITM)
🛡️ 대응 방법
Ruby 버전을 2.0.0-p645, 2.1.6 또는 2.2.2 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
ruby -v | grep -E '2\.0\.[0-9]+(p[0-9]+)?|2\.1\.[0-5]|2\.2\.[0-1]'