🇰🇷 한글 설명
JBCS httpd 2.4.37 SP3 버전에서 백엔드 워커 SSL 인증서의 키스토어 ID가 'unknown'일 경우 인증서 검증이 제대로 이루어지지 않는 결함이 발견되었습니다. 이로 인해 인증서의 CN(Common Name)과 호스트네임 일치 여부를 확인하는 과정이 생략되어 백엔드 워커로의 연결이 허용될 수 있으며, 데이터 무결성에 위협이 됩니다.
💡 쉬운 설명
웹 서버가 뒷단 서버와 통신할 때 상대방이 진짜인지 확인하는 보안 검사 과정이 제대로 작동하지 않는 문제입니다. 이로 인해 공격자가 중간에서 가짜 서버를 통해 데이터를 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in JBCS httpd in version 2.4.37 SP3, where it uses a back-end worker SSL certificate with the keystore file's ID is 'unknown'. The validation of the certificate whether CN and hostname are matching stopped working and allow connecting to the back-end work. The highest threat from this vulnerability is to data integrity.
📍 영향받는 시스템
JBCS httpd version 2.4.37 SP3
⚔️ 공격 벡터
인증서 검증 미흡을 이용한 중간자 공격(Man-in-the-Middle)을 통해 백엔드 연결 탈취
🛡️ 대응 방법
JBCS httpd를 최신 보안 패치가 적용된 버전으로 업데이트하거나 키스토어 ID 설정을 점검하십시오.
🔧 검증 코드
출력된 결과의 버전이 2.4.37 SP3인지 확인하여 취약 여부를 판단합니다.
rpm -qa | grep -E 'jbcs-httpd'