🇰🇷 한글 설명
wolfSSL 5.2.0 미만 버전의 TLS 1.3 서버에서 상호 인증 요구 사항을 제대로 강제하지 못하는 취약점이 발견되었습니다. 클라이언트가 핸드셰이크 과정에서 certificate_verify 메시지를 생략하고 인증서를 제출하지 않더라도 서버가 이를 허용할 수 있습니다.
💡 쉬운 설명
서버가 접속하려는 사용자에게 신분증(인증서)을 요구했는데, 사용자가 신분증을 안 보여줘도 서버가 그냥 통과시켜주는 보안 구멍이 있는 상태입니다. 이로 인해 인증된 사용자만 접속할 수 있는 시스템이 누구나 접속 가능한 상태가 될 수 있습니다.
🇺🇸 원문 (English)
In wolfSSL before 5.2.0, a TLS 1.3 server cannot properly enforce a requirement for mutual authentication. A client can simply omit the certificate_verify message from the handshake, and never present a certificate.
📍 영향받는 시스템
wolfSSL versions prior to 5.2.0
⚔️ 공격 벡터
TLS 1.3 핸드셰이크 과정에서 클라이언트가 인증서 검증 메시지를 의도적으로 누락시키는 방식
🛡️ 대응 방법
wolfSSL을 5.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 wolfSSL의 버전을 확인하여 5.2.0 미만인지 확인하십시오.
wolfssl_version_check_command_placeholder_only_if_available_else_check_package_manager