🇰🇷 한글 설명
go-micro 6.0.0 미만 버전에서 공유 TLS 헬퍼가 InsecureSkipVerify를 기본적으로 true로 설정하여 발생하는 부적절한 인증서 검증 취약점입니다. 이를 통해 네트워크 공격자가 서비스를 사칭할 수 있으며, 중간자 공격(MitM)을 통해 gRPC, HTTP, RabbitMQ, Consul, etcd 등의 트래픽과 인증 토큰 및 자격 증명을 가로채거나 수정할 수 있습니다.
💡 쉬운 설명
프로그램이 상대방의 신분증(인증서)을 제대로 확인하지 않고 통신을 허용하는 보안 결함입니다. 해커가 중간에서 가짜 신분증을 내밀면 데이터나 비밀번호를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
go-micro before 6.0.0 contains an improper certificate validation vulnerability that allows network attackers to impersonate services because the shared TLS helper sets InsecureSkipVerify to true by default. Man-in-the-middle attackers can present any certificate to intercept or modify gRPC transport, HTTP and RabbitMQ broker, and Consul or etcd registry traffic, including authentication tokens and credentials.
📍 영향받는 시스템
go-micro versions before 6.0.0
⚔️ 공격 벡터
네트워크를 통한 중간자 공격(Man-in-the-Middle)을 이용한 서비스 사칭 및 데이터 탈취
🛡️ 대응 방법
go-micro를 6.0.0 이상의 최신 버전으로 업데이트하고 TLS 설정에서 InsecureSkipVerify를 false로 구성하십시오.
🔧 검증 코드
출력된 결과에서 go-micro의 버전이 6.0.0 미만인지 확인하십시오.
go list -m all | grep go-micro
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Active Directory Certificate Services