🇰🇷 한글 설명
alexpechkarev/google-maps Laravel 패키지 12.16 이하 버전에서 기본적으로 TLS 인증서 검증이 비활성화되어 있습니다. 이로 인해 중간자 공격자가 가짜 인증서를 사용하여 Google Maps 요청을 가로채고 API 키를 탈취하거나 응답 데이터를 조작할 수 있습니다.
💡 쉬운 설명
구글 지도를 사용하는 프로그램이 보안 연결을 확인할 때 인증서가 진짜인지 확인하지 않는 설정 오류가 있습니다. 이 때문에 해커가 중간에서 데이터를 훔쳐보거나 내용을 바꿀 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The alexpechkarev/google-maps Laravel package through 12.16 disables TLS certificate verification by default because the bundled config sets ssl_verify_peer to FALSE, which is passed to CURLOPT_SSL_VERIFYPEER. On-path attackers can present any certificate to intercept Google Maps web-service requests, steal the API key from the query string, and tamper with responses.
📍 영향받는 시스템
alexpechkarev/google-maps Laravel package version 12.16 and below
⚔️ 공격 벡터
On-path attack (Man-in-the-Middle) via disabled TLS certificate verification
🛡️ 대응 방법
설정 파일에서 ssl_verify_peer 값을 TRUE로 변경하거나 패키지를 최신 보안 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 12.16 이하인지 확인하여 취약 여부를 판단합니다.
composer show alexpechkarev/google-maps | grep 'versions'