🇰🇷 한글 설명
curl 8.1.0 미만 버전에는 TLS 서버 인증서의 Subject Alternative Name에 있는 와일드카드 패턴 매칭을 잘못 처리하는 인증서 검증 취약점이 존재합니다. curl 자체 와일드카드 매칭 함수가 IDN(국제화 도메인명) 호스트를 잘못 매칭하여, 본래 불일치해야 할 패턴을 허용할 수 있습니다. IDN 이름은 punycode(xn--로 시작)로 변환되어야 하지만, 와일드카드 검사가 x*로 여전히 매칭되어 문제가 발생합니다.
💡 쉬운 설명
curl이 웹사이트 인증서의 도메인 이름을 검사할 때 일부 국제 도메인 이름을 잘못 허용할 수 있는 문제입니다. 이로 인해 공격자가 정상이 아닌 인증서로 사이트를 가장할 가능성이 생깁니다.
🇺🇸 원문 (English)
An improper certificate validation vulnerability exists in curl <v8.1.0 in the way it supports matching of wildcard patterns when listed as "Subject Alternative Name" in TLS server certificates. curl can be built to use its own name matching function for TLS rather than one provided by a TLS library. This private wildcard matching function would match IDN (International Domain Name) hosts incorrectly and could as a result accept patterns that otherwise should mismatch. IDN hostnames are converted to puny code before used for certificate checks. Puny coded names always start with `xn--` and should not be allowed to pattern match, but the wildcard check in curl could still check for `x*`, which would match even though the IDN name most likely contained nothing even resembling an `x`.
📍 영향받는 시스템
curl 8.1.0 미만 버전 중 자체 와일드카드 매칭 기능을 사용하도록 빌드된 시스템
⚔️ 공격 벡터
공격자가 와일드카드 패턴과 IDN 도메인을 악용한 인증서를 준비해 중간자(MITM) 상황에서 curl 클라이언트를 속임
🛡️ 대응 방법
curl을 8.1.0 이상으로 업데이트하고 배포판의 보안 패치를 적용
🔧 검증 코드
출력된 버전이 8.1.0 미만이면 취약한 것이며, 8.1.0 이상이면 이 취약점에 대해 패치된 상태입니다.
curl --version 2>/dev/null | head -n 1