🇰🇷 한글 설명
curl 7.86.0 미만 버전에서 HSTS 체크를 우회하여 HTTPS 대신 보안되지 않은 HTTP를 사용하도록 유도할 수 있는 취약점입니다. IDN(국제화 도메인 이름) 변환 과정에서 특정 유니코드 문자가 ASCII 문자로 대체되는 특성을 악용하여 HSTS 강제 적용을 무력화할 수 있습니다.
💡 쉬운 설명
웹사이트가 보안 연결(HTTPS)을 강제하도록 설정되어 있어도, 특수 문자가 포함된 주소를 사용하면 공격자가 이를 속여 보안이 취약한 일반 연결(HTTP)로 접속하게 만들 수 있습니다. 이를 통해 통신 내용이 가로채질 위험이 있습니다.
🇺🇸 원문 (English)
In curl before 7.86.0, the HSTS check could be bypassed to trick it into staying with HTTP. Using its HSTS support, curl can be instructed to use HTTPS directly (instead of using an insecure cleartext HTTP step) even when HTTP is provided in the URL. This mechanism could be bypassed if the host name in the given URL uses IDN characters that get replaced with ASCII counterparts as part of the IDN conversion, e.g., using the character UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) instead of the common ASCII full stop of U+002E (.). The earliest affected version is 7.77.0 2021-05-26.
📍 영향받는 시스템
curl 7.77.0 ~ 7.85.x 버전
⚔️ 공격 벡터
IDN 변환 시 ASCII로 치환되는 특수 유니코드 문자를 포함한 URL을 사용하여 HSTS 보안 정책을 우회함
🛡️ 대응 방법
curl을 7.86.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 7.86.0 미만인지 확인하십시오.
curl --version | grep -E 'curl/[0-9]+\.[0-9]+'