🇰🇷 한글 설명
wolfssl Python 패키지의 verify_mode = CERT_REQUIRED 설정에서 WOLFSSL_VERIFY_FAIL_IF_NO_PEER_CERT 플래그 누락으로 인해 클라이언트 인증서 요구사항이 제대로 적용되지 않습니다. 이로 인해 클라이언트 인증서 없이도 mTLS 인증이 우회되어 부정한 접근이 가능합니다.
💡 쉬운 설명
wolfssl 라이브러리가 TLS 보안 연결에서 클라이언트 인증서를 확인해야 하는데 제대로 확인하지 않는 문제입니다. 이를 악용하면 인증서 없이도 보안이 필요한 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in the handling of verify_mode = CERT_REQUIRED in the wolfssl Python package (wolfssl-py) causes client certificate requirements to not be fully enforced.
Because the WOLFSSL_VERIFY_FAIL_IF_NO_PEER_CERT flag was not included, the behavior effectively matched CERT_OPTIONAL: a peer certificate was verified if presented, but connections were incorrectly authenticated when no client certificate was provided.
This results in improper authentication, allowing attackers to bypass mutual TLS (mTLS) client authentication by omitting a client certificate during the TLS handshake.
The issue affects versions up to and including 5.8.2.
📍 영향받는 시스템
wolfssl-py (Python 패키지) 버전 5.8.2 이하
⚔️ 공격 벡터
TLS 핸드셰이크 중 클라이언트 인증서를 제공하지 않아 mTLS 인증 우회
🛡️ 대응 방법
wolfssl-py를 5.8.3 이상 버전으로 업그레이드
🔧 검증 코드
Version이 5.8.2 이하이면 취약점 영향 가능, 5.8.3 이상이면 패치됨
pip show wolfssl 2>/dev/null | grep Version