🇰🇷 한글 설명
wolfSSL 4.7.0 미만 버전의 tls13.c 내 DoTls13CertificateVerify 함수에서 특정 비정상적인 피어 동작을 처리할 때 프로세스를 중단하지 않는 취약점이 발견되었습니다. 공격자가 인증서 없이 서명만 보내는 방식으로 TLS 1.3 서버를 사칭할 수 있어 클라이언트 측이 위험에 노출됩니다.
💡 쉬운 설명
인증서가 없는 가짜 신분증을 내밀어도 시스템이 이를 제대로 걸러내지 못하는 문제입니다. 이로 인해 해커가 중간에서 통신을 가로채거나 가짜 서버인 척 속일 수 있습니다.
🇺🇸 원문 (English)
DoTls13CertificateVerify in tls13.c in wolfSSL before 4.7.0 does not cease processing for certain anomalous peer behavior (sending an ED22519, ED448, ECC, or RSA signature without the corresponding certificate). The client side is affected because man-in-the-middle attackers can impersonate TLS 1.3 servers.
📍 영향받는 시스템
wolfSSL 4.7.0 미만 버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 TLS 1.3 서버 사칭
🛡️ 대응 방법
wolfSSL을 4.7.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 wolfSSL 버전이 4.7.0 미만인지 확인하십시오.
wolfssl_version_check() { wolfssl_version_cmd=$(wolfssl_version 2>/dev/null || echo 'not installed'); echo $wolfssl_version_cmd; }