🇰🇷 한글 설명
Sunshine 게임 스트림 호스팅 서비스 2026.516.143833 이전 버전에서 OpenSSL 인증서 검증 로직 결함으로 클라이언트 인증서 인증을 우회할 수 있습니다. src/crypto.cpp의 검증 콜백이 X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY, X509_V_ERR_CERT_NOT_YET_VALID, X509_V_ERR_CERT_HAS_EXPIRED 오류를 성공으로 처리하여 신뢰할 수 없는 인증서도 보호된 HTTPS 엔드포인트 접근이 가능합니다.
💡 쉬운 설명
Sunshine 서비스에서 잘못된 인증서도 유효한 것으로 인정하는 보안 결함이 있습니다. 공격자는 위조된 인증서로 권한 없이 보호된 기능에 접근할 수 있습니다.
🇺🇸 원문 (English)
Sunshine is a self-hosted game stream host for Moonlight. In versions prior to 2026.516.143833, the client-certificate authentication can be bypassed because of how OpenSSL verification results are handled. In src/crypto.cpp, the custom verify callback treats X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY, X509_V_ERR_CERT_NOT_YET_VALID, and X509_V_ERR_CERT_HAS_EXPIRED as success. This can allow an untrusted certificate to pass authentication and access protected HTTPS endpoints. This issue has been fixed in version 2026.516.143833.
📍 영향받는 시스템
Sunshine versions prior to 2026.516.143833
⚔️ 공격 벡터
Attacker presents invalid, expired, or self-signed certificate to bypass client certificate authentication and access protected HTTPS endpoints
🛡️ 대응 방법
Update Sunshine to version 2026.516.143833 or later
🔧 검증 코드
출력된 버전이 2026.516.143833 이상이면 패치 완료, 그 이하면 취약한 상태입니다.
dpkg -l sunshine 2>/dev/null | awk '$2=="sunshine" {print $3}' || echo 'not found'