🇰🇷 한글 설명
Apache CXF의 Netty 기반 HTTP 클라이언트 전송 계층에서 서버 TLS 인증서의 호스트네임 일치 여부를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 신뢰할 수 있는 인증서를 사용하여 대상 서비스를 사칭하고 통신 내용을 가로채거나 수정할 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 과정에서 이름표를 제대로 확인하지 않는 결함이 있습니다. 해커가 가짜 이름표를 내밀어도 시스템이 속아 넘어가 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
In Apache CXF, the Netty-based HTTP client transport (cxf-rt-transports-http-netty-client) did not verify that the hostname in the server’s TLS certificate matched the host being called. This applied over both HTTP/1.1 and HTTP/2, even when disableCNCheck was left at its default value of false. The certificate chain was validated against the configured trust store, but the endpoint’s identity was not. A network attacker able to intercept traffic could present any certificate trusted by the client, such as a publicly issued certificate for a domain they control, and impersonate the target service. They could then read or modify the exchanged messages, including credentials.
Users are recommended to upgrade to versions 4.2.4 or 4.1.9 or 3.6.13, which fix this issue.
📍 영향받는 시스템
Apache CXF (cxf-rt-transports-http-netty-client 사용 버전)
⚔️ 공격 벡터
네트워크 중간에서 트래픽을 가로채 신뢰할 수 있는 다른 도메인의 인증서를 제시하여 대상 서비스를 사칭함
🛡️ 대응 방법
Apache CXF를 4.2.4, 4.1.9 또는 3.6.13 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 취약한 버전(4.2.4, 4.1.9, 3.6.13 미만)인지 확인하십시오.
mvn dependency:list | grep 'cxf-rt-transports-http-netty-client'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server