🇰🇷 한글 설명
GNOME glib-networking 2.64.2 이하 버전에서 GTlsClientConnection 구현 시 애플리케이션이 서버 ID를 지정하지 않으면 호스트 이름 검증을 건너뛰는 취약점이 발견되었습니다. 이로 인해 Balsa와 같은 애플리케이션은 인증서가 다른 호스트용이라도 유효하기만 하면 이를 수락하게 됩니다.
💡 쉬운 설명
인터넷 연결 시 접속하려는 사이트가 진짜인지 확인하는 과정에서 이름표를 확인하지 않는 오류가 있습니다. 이 때문에 해커가 만든 가짜 사이트에 접속해도 컴퓨터가 진짜 사이트인 것처럼 착각할 수 있습니다.
🇺🇸 원문 (English)
In GNOME glib-networking through 2.64.2, the implementation of GTlsClientConnection skips hostname verification of the server's TLS certificate if the application fails to specify the expected server identity. This is in contrast to its intended documented behavior, to fail the certificate verification. Applications that fail to provide the server identity, including Balsa before 2.5.11 and 2.6.x before 2.6.1, accept a TLS certificate if the certificate is valid for any host.
📍 영향받는 시스템
glib-networking 2.64.2 이하 버전, Balsa 2.5.11 미만 및 2.6.x 2.6.1 미만 버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통해 유효하지만 대상 호스트와 일치하지 않는 TLS 인증서를 제시하여 통신 가로채기
🛡️ 대응 방법
glib-networking 및 관련 애플리케이션(Balsa 등)을 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 glib-networking의 버전이 2.64.2 이하이거나 Balsa의 버전이 취약 버전 범위에 있는지 확인
dpkg -l | grep -E 'glib-networking|balsa' 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server