🇰🇷 한글 설명
MsQuic 라이브러리에서 OpenSSL 또는 QuicTLS TLS 백엔드를 사용하는 클라이언트가 서버 인증서의 호스트 이름 일치 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 이로 인해 중간자 공격(MitM)을 수행하는 공격자가 의도한 대상과 다른 인증서를 제시하여 서버를 사칭할 수 있습니다. 이 문제는 2.4.20, 2.5.11, 2.6.1 버전에서 수정되었습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 과정에서 이름표를 제대로 확인하지 않는 결함이 있습니다. 해커가 가짜 이름표를 내밀어도 컴퓨터가 속아 넘어가서 개인정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
MsQuic is a cross-platform C implementation of the IETF QUIC protocol exposed to C, C++, C#, and Rust. Prior to 2.4.20, 2.5.11, and 2.6.1, MsQuic clients using the OpenSSL or QuicTLS TLS backend do not properly verify that a server certificate matches the intended target server hostname. An on-path attacker can therefore present a certificate that does not match the intended target hostname and spoof the server in a man-in-the-middle attack. The Schannel backend is not affected. This issue is fixed in versions 2.4.20, 2.5.11, and 2.6.1.
📍 영향받는 시스템
MsQuic (OpenSSL 또는 QuicTLS 백엔드 사용 버전) 2.4.20, 2.5.11, 2.6.1 미만 버전
⚔️ 공격 벡터
네트워크 경로 중간에 위치한 공격자가 잘못된 인증서를 사용하여 서버를 사칭하는 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
MsQuic를 최신 패치 버전인 2.4.20, 2.5.11 또는 2.6.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 MsQuic 버전이 취약점이 해결된 버전(2.4.20, 2.5.11, 2.6.1 이상)인지 확인하십시오.
pkg-config --modversion msquic 2>/dev/null || echo 'Version not found'