🇰🇷 한글 설명
사용자가 스킴이 없는 URL을 사용하면서 `--proto-default`를 sftp 또는 scp로 설정할 경우, curl 도구 계층과 libcurl 간의 불일치가 발생합니다. 이로 인해 SSH 호스트 키 검증과 같은 핵심 보안 옵션이 초기화되지 않고 생략되어, 검증되지 않은 SSH 원격 호스트에 오류 없이 연결될 수 있습니다.
💡 쉬운 설명
curl을 사용할 때 주소 형식을 잘못 지정하면 보안 검사 과정을 건너뛰게 되는 버그가 있습니다. 이로 인해 해커가 만든 가짜 서버에 연결되어도 경고 없이 접속될 위험이 있습니다.
🇺🇸 원문 (English)
When a user invokes curl using a schemeless URL combined with
`--proto-default` sftp (or scp), a disconnect occurs between the tool layer
and libcurl. The tool layer incorrectly infers the URL scheme, which
erroneously bypasses the initialization of critical SSH security options like
CURLOPT_SSH_HOST_PUBLIC_KEY_SHA256 and CURLOPT_SSH_KNOWNHOSTS. Conversely, the
libcurl runtime successfully honors CURLOPT_DEFAULT_PROTOCOL and establishes
the connection via SFTP/SCP as specified. Because the tool layer skipped the
security configuration, these SSH host verification options are silently
omitted, causing curl to connect to an unverified SSH remote host without
throwing an error.
📍 영향받는 시스템
curl (schemeless URL과 --proto-default sftp/scp를 함께 사용하는 환경)
⚔️ 공격 벡터
검증되지 않은 SSH 호스트로의 중간자 공격(MitM)을 통한 데이터 탈취
🛡️ 대응 방법
curl을 최신 보안 패치가 적용된 버전으로 업데이트하거나, URL에 명시적으로 프로토콜(sftp:// 등)을 포함하여 사용하십시오.
🔧 검증 코드
출력된 curl 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 보안 공지(Advisory)와 대조하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.