🇰🇷 한글 설명
libcurl의 연결 풀 관리 로직 오류로 인해, 설정 매칭 시 'issuercert' 옵션이 고려되지 않고 파일 경로를 대소문자 구분 없이 비교하는 문제가 발생했습니다. 이로 인해 시스템의 파일 시스템 특성에 따라 의도하지 않은 잘못된 연결이 재사용될 수 있습니다.
💡 쉬운 설명
인터넷 연결을 효율적으로 하기 위해 기존 연결을 재사용하는 과정에서, 보안 설정이 서로 다른 연결을 같은 것으로 착각하는 오류가 있습니다. 이로 인해 보안 인증서 설정이 잘못된 연결이 사용될 위험이 있습니다.
🇺🇸 원문 (English)
libcurl keeps previously used connections in a connection pool for subsequenttransfers to reuse, if one of them matches the setup.Due to errors in the logic, the config matching function did not take 'issuercert' into account and it compared the involved paths *case insensitively*,which could lead to libcurl reusing wrong connections.File paths are, or can be, case sensitive on many systems but not all, and caneven vary depending on used file systems.The comparison also didn't include the 'issuer cert' which a transfer can setto qualify how to verify the server certificate.
📍 영향받는 시스템
libcurl versions prior to 7.76.1
⚔️ 공격 벡터
대소문자 구분 방식이 다른 파일 시스템 환경에서 잘못된 인증서 설정이 포함된 연결이 재사용됨
🛡️ 대응 방법
libcurl을 7.76.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 curl 버전이 7.76.1 미만인지 확인하십시오.
curl --version | grep -E 'curl/[0-9]+\.[0-9]+'