🇰🇷 한글 설명
Hyperledger Aries Cloud Agent Python(ACA-Py)에서 JSON-LD 기반의 검증 가능한 자격 증명(VC)을 검증할 때, 증명(proof)의 검증 결과가 최종 결과에 반영되지 않는 결함이 발견되었습니다. 이로 인해 공격자가 잘못된 증명을 제출하거나, 악의적인 검증자가 타인의 증명을 탈취하여 재사용할 수 있습니다.
💡 쉬운 설명
신분증의 위조 여부를 확인하는 과정에서 확인 결과가 제대로 반영되지 않는 오류가 있습니다. 이 때문에 가짜 신분증이 통과되거나, 남의 신분증 정보를 훔쳐서 본인인 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
Hyperledger Aries Cloud Agent Python (ACA-Py) is a foundation for building decentralized identity applications and services running in non-mobile environments. When verifying W3C Format Verifiable Credentials using JSON-LD with Linked Data Proofs (LDP-VCs), the result of verifying the presentation `document.proof` was not factored into the final `verified` value (`true`/`false`) on the presentation record. The flaw enables holders of W3C Format Verifiable Credentials using JSON-LD with Linked Data Proofs (LDPs) to present incorrectly constructed proofs, and allows malicious verifiers to save and replay a presentation from such holders as their own. This vulnerability has been present since version 0.7.0 and fixed in version 0.10.5.
📍 영향받는 시스템
Hyperledger Aries Cloud Agent Python (ACA-Py) version 0.7.0 to 0.10.4
⚔️ 공격 벡터
잘못 구성된 JSON-LD 증명을 제출하거나 검증된 증명을 가로채어 재사용(Replay Attack)하는 방식
🛡️ 대응 방법
ACA-Py를 최신 보안 패치가 적용된 버전인 0.10.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.10.5 미만(0.7.0 ~ 0.10.4)이면 취약한 상태입니다.
pip show apy-cloudagent | grep Version