🇰🇷 한글 설명
Szafir는 클라이언트 및 서버 인증서의 유효성 검사(인증서 체인 및 호스트명 검증)를 수행하지 않고 모든 인증서를 수락합니다. 이로 인해 원격 서버의 신원을 확인하지 않은 채 HTTPS 연결이 이루어지며, 공격자가 임의의 SSL/TLS 인증서를 제시하여 업데이트 파일을 공격자 서버에서 다운로드하도록 유도할 수 있습니다. 이 문제는 버전 2.0 build 708에서 수정되었습니다.
💡 쉬운 설명
이 프로그램은 연결 상대가 진짜 서버인지 확인하지 않고 접속합니다. 공격자가 가짜 서버를 만들어 악성 업데이트 파일을 보내도록 속일 수 있습니다.
🇺🇸 원문 (English)
Szafir accepts any client or server certificate without performing certificate and hostname validation, allowing HTTPS connections without authenticating the remote server. An attacker can provide an arbitrary SSL/TLS certificate and cause the application to download an update file from their server.
This issue was fixed in version 2.0 build 708.
📍 영향받는 시스템
Szafir 2.0 build 708 이전 버전
⚔️ 공격 벡터
중간자(MITM) 공격으로 네트워크 트래픽을 가로채 공격자 서버의 위조 인증서와 악성 업데이트 파일을 전달
🛡️ 대응 방법
Szafir를 2.0 build 708 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.0 build 708 미만이면 취약하므로 업데이트가 필요하며, 명령어 결과가 없으면 설치 경로를 직접 확인해야 합니다.
szafir --version 2>/dev/null || grep -ri 'build' /opt/szafir/version.txt 2>/dev/null
💻 영향받는 소프트웨어
IBM WebSphere Application Server