🇰🇷 한글 설명
Envoy 프록시의 기본 인증 루틴 구현 중 subjectAltNames 처리 과정에서 타입 혼동(type confusion) 취약점이 발견되었습니다. 이로 인해 rfc822Name이나 URI가 도메인 이름으로 오인되어 nameConstraints 검증을 우회할 수 있으며, 결과적으로 임의의 서버를 사칭할 수 있게 됩니다.
💡 쉬운 설명
인증서의 이름 형식을 확인하는 과정에서 오류가 발생하여, 가짜 주소를 진짜 도메인처럼 속일 수 있는 문제입니다. 공격자가 신뢰할 수 없는 서버를 마치 안전한 서버인 것처럼 속여 데이터를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Envoy is an open source edge and service proxy, designed for cloud-native applications. The default_validator.cc implementation used to implement the default certificate validation routines has a "type confusion" bug when processing subjectAltNames. This processing allows, for example, an rfc822Name or uniformResourceIndicator to be authenticated as a domain name. This confusion allows for the bypassing of nameConstraints, as processed by the underlying OpenSSL/BoringSSL implementation, exposing the possibility of impersonation of arbitrary servers. As a result Envoy will trust upstream certificates that should not be trusted.
📍 영향받는 시스템
Envoy Proxy (default_validator.cc 취약점이 포함된 버전)
⚔️ 공격 벡터
조작된 subjectAltNames를 포함한 인증서를 사용하여 nameConstraints 검증을 우회하고 서버를 사칭함
🛡️ 대응 방법
Envoy 프록시를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Envoy 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 보안 공지(Advisory)와 대조하십시오.
envoy --version 2>/dev/null || echo 'Envoy not installed'