🇰🇷 한글 설명
Windows 환경에서 AWS IoT Device SDK v2를 사용할 때, 신뢰 저장소의 인증 기관(CA)을 재정의할 경우 TLS 핸드셰이크 과정에서 서버 인증서의 호스트 이름을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 중간자 공격(MitM)을 수행할 위험이 있습니다. 해당 문제는 aws-c-io 서브모듈 0.9.13 버전부터 해결되었습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 과정에서 이름표를 제대로 확인하지 않는 결함이 있습니다. 이로 인해 해커가 중간에서 가짜 서버인 척하며 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Connections initialized by the AWS IoT Device SDK v2 for Java (versions prior to 1.3.3), Python (versions prior to 1.5.18), C++ (versions prior to 1.12.7) and Node.js (versions prior to 1.5.1) did not verify server certificate hostname during TLS handshake when overriding Certificate Authorities (CA) in their trust stores on Windows. This issue has been addressed in aws-c-io submodule versions 0.9.13 onward. This issue affects: Amazon Web Services AWS IoT Device SDK v2 for Java versions prior to 1.3.3 on Microsoft Windows. Amazon Web Services AWS IoT Device SDK v2 for Python versions prior to 1.5.18 on Microsoft Windows. Amazon Web Services AWS IoT Device SDK v2 for C++ versions prior to 1.12.7 on Microsoft Windows. Amazon Web Services AWS IoT Device SDK v2 for Node.js versions prior to 1.5.3 on Microsoft Windows.
📍 영향받는 시스템
Windows 기반 AWS IoT Device SDK v2 (Java < 1.3.3, Python < 1.5.18, C++ < 1.12.7, Node.js < 1.5.3)
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통해 인증되지 않은 서버로 트래픽 유도
🛡️ 대응 방법
AWS IoT Device SDK v2를 최신 버전으로 업데이트하거나 aws-c-io 서브모듈을 0.9.13 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 SDK의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
pip show awsiotdeviceclient || npm list @aws-sdk/client-iot || python --version