🇰🇷 한글 설명
curl 7.20.0 이상 7.78.0 이하 버전에서 IMAP, POP3, FTP 서버와 통신할 때 TLS 업그레이드를 강제하는 설정이 우회될 수 있는 취약점입니다. 공격자가 정교하게 조작된 응답을 보내면 curl이 TLS 없이 평문으로 통신을 계속하게 되어 민감한 데이터가 노출될 수 있습니다.
💡 쉬운 설명
보안 연결(TLS)을 반드시 사용하도록 설정했음에도 불구하고, 가짜 응답을 보내는 서버를 만나면 보안 연결 없이 데이터를 주고받게 되는 문제입니다. 이로 인해 비밀번호와 같은 중요한 정보가 해커에게 그대로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
A user can tell curl >= 7.20.0 and <= 7.78.0 to require a successful upgrade to TLS when speaking to an IMAP, POP3 or FTP server (`--ssl-reqd` on the command line or`CURLOPT_USE_SSL` set to `CURLUSESSL_CONTROL` or `CURLUSESSL_ALL` withlibcurl). This requirement could be bypassed if the server would return a properly crafted but perfectly legitimate response.This flaw would then make curl silently continue its operations **withoutTLS** contrary to the instructions and expectations, exposing possibly sensitive data in clear text over the network.
📍 영향받는 시스템
curl >= 7.20.0 및 <= 7.78.0
⚔️ 공격 벡터
조작된 서버 응답을 통해 TLS 업그레이드 요구 사항을 우회하여 평문 통신 유도
🛡️ 대응 방법
curl 버전을 7.78.1 이상으로 업데이트
🔧 검증 코드
출력된 curl 버전이 7.20.0 이상 7.78.0 이하인지 확인
curl --version | grep -E 'curl/[0-9]+\.[0-9]+'