🇰🇷 한글 설명
go-witness 및 witness의 AWS 증명자가 AWS EC2 인스턴스 ID 문서를 부정확하게 검증하여 서명이 없거나 검증에 실패할 때도 통과시킵니다. 2024년 발급 지역별 인증서를 미지원하여 위조 문서 탐지가 어렵고, 공격자가 인스턴스 메타데이터 서비스를 흉내내어 위조 문서를 수용하게 할 수 있습니다.
💡 쉬운 설명
AWS 서버 신원을 확인하는 go-witness/witness 도구에 버그가 있어 가짜 신원 증명서를 진짜로 받아들입니다. 공격자가 이를 악용하면 시스템이 신뢰하면 안 되는 서버를 신뢰하게 됩니다.
🇺🇸 원문 (English)
go-witness and witness are Go modules for generating attestations. In go-witness versions 0.8.6 and earlier and witness versions 0.9.2 and earlier the AWS attestor improperly verifies AWS EC2 instance identity documents. Verification can incorrectly succeed when a signature is not present or is empty, and when RSA signature verification fails. The attestor also embeds a single legacy global AWS public certificate and does not account for newer region specific certificates issued in 2024, making detection of forged documents difficult without additional trusted region data. An attacker able to supply or intercept instance identity document data (such as through Instance Metadata Service impersonation) can cause a forged identity document to be accepted, leading to incorrect trust decisions based on the attestation. This is fixed in go-witness 0.9.1 and witness 0.10.1. As a workaround, manually verify the included identity document, signature, and public key with standard tools (for example openssl) following AWS’s verification guidance, or disable use of the AWS attestor until upgraded.
📍 영향받는 시스템
go-witness ≤ 0.8.6, witness ≤ 0.9.2
⚔️ 공격 벡터
Instance Metadata Service 흉내내기 또는 네트워크 중간에서 위조된 인스턴스 ID 문서를 주입하여 검증 우회
🛡️ 대응 방법
go-witness 0.9.1 이상, witness 0.10.1 이상으로 업그레이드하거나 AWS 증명자 사용 비활성화
🔧 검증 코드
출력된 버전이 go-witness v0.9.1 이상이면 안전하고, 0.8.6 이하면 업그레이드 필요
go list -m github.com/in-toto/go-witness 2>/dev/null | awk '{print $1, $2}'