🇰🇷 한글 설명
Apache Pulsar의 Java 클라이언트 및 관리 클라이언트에서 TLS 호스트 이름 검증 기능이 활성화되지 않는 취약점이 발견되었습니다. 이로 인해 클러스터 내부 연결 및 지리적 복제 연결이 중간자 공격(MitM)에 노출되어 자격 증명, 설정 및 메시지 데이터가 유출될 수 있습니다.
💡 쉬운 설명
통신 대상이 진짜인지 확인하는 과정이 빠져 있어, 해커가 중간에서 가짜 서버인 척하며 데이터를 가로챌 수 있는 문제입니다. 이를 통해 비밀번호나 중요한 메시지 내용이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
TLS hostname verification cannot be enabled in the Pulsar Broker's Java Client, the Pulsar Broker's Java Admin Client, the Pulsar WebSocket Proxy's Java Client, and the Pulsar Proxy's Admin Client leaving intra-cluster connections and geo-replication connections vulnerable to man in the middle attacks, which could leak credentials, configuration data, message data, and any other data sent by these clients. The vulnerability is for both the pulsar+ssl protocol and HTTPS. An attacker can only take advantage of this vulnerability by taking control of a machine 'between' the client and the server. The attacker must then actively manipulate traffic to perform the attack by providing the client with a cryptographically valid certificate for an unrelated host. This issue affects Apache Pulsar Broker, Proxy, and WebSocket Proxy versions 2.7.0 to 2.7.4; 2.8.0 to 2.8.3; 2.9.0 to 2.9.2; 2.10.0; 2.6.4 and earlier.
📍 영향받는 시스템
Apache Pulsar Broker, Proxy, WebSocket Proxy (2.6.4 이하, 2.7.0-2.7.4, 2.8.0-2.8.3, 2.9.0-2.9.2, 2.10.0)
⚔️ 공격 벡터
클라이언트와 서버 사이의 네트워크를 장악한 공격자가 유효하지만 다른 호스트용인 인증서를 사용하여 트래픽을 가로채는 중간자 공격(MitM)
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Apache Pulsar로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 영향받는 버전 범위에 포함되는지 확인하십시오.