🇰🇷 한글 설명
Python의 urllib3 라이브러리 1.26.x 버전(1.26.4 미만)에서 HTTPS 프록시를 사용할 때 SSL 인증서 검증이 누락되는 취약점이 발견되었습니다. HTTPS 프록시로의 초기 연결 시 인증서의 호스트네임을 확인하지 않아, 유효한 다른 서버의 인증서가 허용될 수 있습니다.
💡 쉬운 설명
인터넷 연결을 도와주는 도구가 보안 확인을 제대로 하지 않아, 가짜 사이트가 진짜인 것처럼 속일 수 있는 문제입니다. 공격자가 중간에서 통신 내용을 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
The urllib3 library 1.26.x before 1.26.4 for Python omits SSL certificate validation in some cases involving HTTPS to HTTPS proxies. The initial connection to the HTTPS proxy (if an SSLContext isn't given via proxy_config) doesn't verify the hostname of the certificate. This means certificates for different servers that still validate properly with the default urllib3 SSLContext will be silently accepted.
📍 영향받는 시스템
Python urllib3 library 1.26.x (1.26.4 미만 버전)
⚔️ 공격 벡터
HTTPS 프록시 환경에서 중간자 공격(Man-in-the-Middle)을 통해 잘못된 인증서를 사용하여 통신 가로채기
🛡️ 대응 방법
urllib3 라이브러리를 1.26.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.26.4보다 낮은지 확인
pip show urllib3 | grep Version