🇰🇷 한글 설명
mbedTLS를 사용하여 빌드된 libcurl에서 IP 주소로 지정된 호스트에 대한 TLS 연결 시 서버 인증서를 확인하지 않는 취약점이 발견되었습니다. IP 주소가 호스트명으로 지정될 경우 libcurl이 hostname 설정 함수 사용을 건너뛰어 인증서 검증 과정을 완전히 생략하게 됩니다. 이 문제는 HTTPS, FTPS, IMAPS 등 모든 TLS 프로토콜 사용 시 영향을 미칩니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 '신분증 검사' 과정이 IP 주소를 사용할 때 제대로 작동하지 않는 문제입니다. 이로 인해 해커가 가짜 사이트로 연결을 유도하더라도 이를 알아차리지 못할 수 있습니다.
🇺🇸 원문 (English)
libcurl did not check the server certificate of TLS connections done to a host specified as an IP address, when built to use mbedTLS. libcurl would wrongly avoid using the set hostname function when the specified hostname was given as an IP address, therefore completely skipping the certificate check. This affects all uses of TLS protocols (HTTPS, FTPS, IMAPS, POPS3, SMTPS, etc).
📍 영향받는 시스템
mbedTLS를 사용하여 빌드된 모든 libcurl 버전
⚔️ 공격 벡터
공격자가 중간자 공격(MitM)을 통해 사용자를 가짜 서버로 유도하고 인증서 검증 없이 데이터를 탈취
🛡️ 대응 방법
mbedTLS를 사용하는 libcurl을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력 결과에 mbedTLS가 포함되어 있다면 해당 취약점에 노출될 가능성이 있으므로 libcurl 버전을 확인해야 합니다.
curl --version | grep -i 'mbedTLS'