🇰🇷 한글 설명
HireVue 채용 플랫폼 V1.0에서 취약한 암호화 알고리즘을 사용하는 문제가 발견되었습니다. 다만, 벤더 측은 해당 버전의 존재 여부와 클라우드 서비스에 대한 CVE 할당 규칙 위반 등을 이유로 이 취약점 보고를 반박하고 있습니다.
💡 쉬운 설명
데이터를 보호할 때 사용하는 암호화 방식이 너무 약해서 보안에 취약할 수 있다는 내용입니다. 하지만 실제 제품 버전이 존재하지 않는다는 논란이 있어 주의가 필요합니다.
🇺🇸 원문 (English)
HireVue Hiring Platform V1.0 suffers from Use of a Broken or Risky Cryptographic Algorithm. NOTE: this is disputed by the vendor for multiple reasons, e.g., it is inconsistent with CVE ID assignment rules for cloud services, and no product with version V1.0 exists. Furthermore, the rail-fence cipher has been removed, and TLS 1.2 is now used for encryption.
📍 영향받는 시스템
HireVue Hiring Platform V1.0 (벤더 측은 해당 버전이 존재하지 않는다고 주장)
⚔️ 공격 벡터
취약한 암호화 알고리즘(Rail-fence cipher 등)을 이용한 데이터 탈취 및 복호화
🛡️ 대응 방법
최신 TLS 1.2 이상의 암호화 프로토콜을 사용하도록 시스템을 업데이트하고 취약한 알고리즘을 제거해야 합니다.
🔧 검증 코드
명령어 결과에서 TLS 1.2 이상의 버전이 사용되고 있는지 확인하여 암호화 프로토콜의 안전성을 검증합니다.
curl -I https://api.hirevue.com | grep -i 'TLS'