🇰🇷 한글 설명
Apache Qpid Proton 0.9에서 0.27.0 버전이 1.1.0 미만의 OpenSSL과 함께 사용될 때, 피어 인증서 검증을 설정했음에도 불구하고 익명으로 연결될 수 있는 취약점이 발견되었습니다. 이로 인해 공격자가 TLS 트래픽을 가로챌 수 있는 환경이라면 탐지되지 않는 중간자 공격(MITM)이 가능합니다.
💡 쉬운 설명
보안 연결을 할 때 상대방이 진짜인지 확인하는 절차를 건너뛰고 연결될 수 있는 결함입니다. 해커가 중간에서 통신 내용을 몰래 훔쳐보거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
While investigating bug PROTON-2014, we discovered that under some circumstances Apache Qpid Proton versions 0.9 to 0.27.0 (C library and its language bindings) can connect to a peer anonymously using TLS *even when configured to verify the peer certificate* while used with OpenSSL versions before 1.1.0. This means that an undetected man in the middle attack could be constructed if an attacker can arrange to intercept TLS traffic.
📍 영향받는 시스템
Apache Qpid Proton 0.9 ~ 0.27.0 (C library 및 언어 바인딩) 및 OpenSSL 1.1.0 미만 버전
⚔️ 공격 벡터
TLS 트래픽을 가로챌 수 있는 위치에서 인증서 검증을 우회하여 중간자 공격(Man-in-the-Middle) 수행
🛡️ 대응 방법
Apache Qpid Proton을 0.27.1 이상으로 업데이트하거나 OpenSSL을 1.1.0 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 qpid-proton 버전이 0.27.0 이하이고 openssl 버전이 1.1.0 미만이면 취약할 가능성이 높습니다.
dpkg -l | grep qpid-proton && openssl version