🇰🇷 한글 설명
libcurl에서 wolfSSL 백엔드를 사용하여 HTTP/3(QUIC)로 연결할 때 서버 인증서의 공개 키 핀닝(pinning) 확인이 누락되는 취약점이 발견되었습니다. 이로 인해 사용자는 인증서 검증이 제대로 이루어지지 않은 상태에서 공격자의 서버에 연결될 위험이 있습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 보안 기능이 특정 조건에서 작동하지 않는 문제입니다. 이로 인해 가짜 사이트에 연결되어도 경고 없이 데이터가 유출될 수 있습니다.
🇺🇸 원문 (English)
libcurl supports *pinning* of the server certificate public key for HTTPS transfers. Due to an omission, this check is not performed when connecting with QUIC for HTTP/3, when the TLS backend is wolfSSL. Documentation says the option works with wolfSSL, failing to specify that it does not for QUIC and HTTP/3. Since pinning makes the transfer succeed if the pin is fine, users could unwittingly connect to an impostor server without noticing.
📍 영향받는 시스템
wolfSSL 백엔드를 사용하는 libcurl 기반 시스템 (HTTP/3 및 QUIC 사용 시)
⚔️ 공격 벡터
중간자 공격(MitM)을 통해 인증서 핀닝 검증을 우회하여 가짜 서버로 연결 유도
🛡️ 대응 방법
libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하거나, wolfSSL 환경에서 HTTP/3 사용 시 주의가 필요함
🔧 검증 코드
출력 결과에서 libcurl 버전과 wolfSSL 사용 여부를 확인하여 해당 환경인지 판단함
curl --version | grep -E 'libcurl/|wolfSSL'