🇰🇷 한글 설명
wolfSSL 4.5.0 미만 버전에서 TLS 1.3 서버 데이터를 처리할 때 상태 머신 구현 오류가 발생합니다. 이로 인해 공격자가 TLS 1.3 서버를 완전히 사칭하여 클라이언트와 서버 간의 민감한 정보를 가로채거나 수정할 수 있습니다.
💡 쉬운 설명
인증 과정에서 보안 규칙을 제대로 지키지 않는 허점이 발견되었습니다. 이를 통해 해커가 가짜 서버인 척하며 사용자의 중요한 데이터를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
wolfSSL before 4.5.0 mishandles TLS 1.3 server data in the WAIT_CERT_CR state, within SanityCheckTls13MsgReceived() in tls13.c. This is an incorrect implementation of the TLS 1.3 client state machine. This allows attackers in a privileged network position to completely impersonate any TLS 1.3 servers, and read or modify potentially sensitive information between clients using the wolfSSL library and these TLS servers.
📍 영향받는 시스템
wolfSSL 4.5.0 미만 모든 버전
⚔️ 공격 벡터
특권 있는 네트워크 위치에 있는 공격자가 조작된 TLS 1.3 메시지를 전송하여 서버를 사칭함
🛡️ 대응 방법
wolfSSL을 4.5.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 wolfSSL의 버전을 확인하여 4.5.0 미만인지 확인하십시오.
wolfssl_version_command_or_check_pkg_version_logic