🇰🇷 한글 설명
wolfSSL 5.2.0 미만 버전에서 TLS 1.3 클라이언트가 서버에 인증을 시도할 때 인증서 검증을 우회할 수 있는 취약점이 존재합니다. 이는 certificate_verify 메시지와 certificate 메시지 간의 sig_algo 필드 값이 서로 다를 때 발생합니다.
💡 쉬운 설명
인증서의 서명 알고리즘 정보가 서로 일치하지 않을 때 검증 과정을 건너뛰는 보안 결함입니다. 이를 통해 공격자가 가짜 인증서를 사용하여 서버에 접속하는 것을 방해하거나 속일 수 있습니다.
🇺🇸 원문 (English)
In wolfSSL before 5.2.0, certificate validation may be bypassed during attempted authentication by a TLS 1.3 client to a TLS 1.3 server. This occurs when the sig_algo field differs between the certificate_verify message and the certificate message.
📍 영향받는 시스템
wolfSSL 5.2.0 미만 모든 버전
⚔️ 공격 벡터
TLS 1.3 통신 과정에서 certificate_verify와 certificate 메시지의 sig_algo 필드 불일치를 이용한 인증 우회
🛡️ 대응 방법
wolfSSL을 5.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 wolfSSL 버전이 5.2.0 미만인지 확인하십시오.
wolfssl_version_cmd=$(wolfssl_version_command 2>/dev/null || echo 'not installed'); echo $wolfssl_version_cmd