🇰🇷 한글 설명
SSL/TLS의 close_notify 메시지를 처리할 때 연결이 제대로 종료되지 않는 취약점입니다. 이로 인해 서버가 소켓을 계속 유지하게 되며, 클라이언트가 이후에 평문 메시지를 수신할 위험이 있습니다.
💡 쉬운 설명
보안 연결을 종료할 때 연결이 완전히 끊기지 않아 발생하는 문제입니다. 이로 인해 암호화되지 않은 데이터가 노출될 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Handling of the close_notify SSL/TLS message does not lead to a connection closure, leading the server to retain the socket opened and to have the client potentially receive clear text messages afterward. Mitigation: 2.0.20 users should migrate to 2.0.21, 2.1.0 users should migrate to 2.1.1. This issue affects: Apache MINA.
📍 영향받는 시스템
Apache MINA 2.0.20 이하 및 2.1.0 버전
⚔️ 공격 벡터
SSL/TLS 연결 종료 과정에서 조작된 close_notify 메시지를 전송하여 연결을 유지시킴
🛡️ 대응 방법
Apache MINA를 2.0.21 또는 2.1.1 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 mina-core의 버전을 확인하여 취약한 버전(2.0.20 이하 또는 2.1.0)인지 체크
mvn dependency:list | grep mina-core