🇰🇷 한글 설명
Incus는 시스템 컨테이너 및 가상 머신 관리 도구입니다. 7.0.0 이전 버전에서는 OVN 데이터베이스 연결의 TLS 검증 로직이 잘못되어, 설정된 CA 인증서가 신뢰 앵커로 사용되지 않고 피어가 핸드셰이크 중 제공한 인증서로 검증 루트가 구성됩니다. 이로 인해 공격자가 OVN 데이터베이스 연결을 가로채거나 가장할 수 있습니다.
💡 쉬운 설명
Incus가 OVN 서버의 인증서를 제대로 확인하지 않아, 공격자가 가짜 서버 인증서를 내밀면 그것을 진짜로 믿어버립니다. 관리 네트워크에 접근할 수 있는 공격자는 이를 이용해 OVN 서버를 사칭할 수 있습니다.
🇺🇸 원문 (English)
Incus is a system container and virtual machine manager. In versions before 7.0.0, broken TLS validation logic in the OVN database connection logic can allow connections to an attacker's OVN database. The OVN client implementations disable Go standard TLS server verification and replace it with custom peer-certificate verification logic. That replacement verifier does not anchor trust in the configured CA certificate. Instead, it constructs the verification root set from certificates supplied by the peer during the handshake, so the configured CA is parsed but not used as the trust anchor for the final verification decision.
In OVN-enabled deployments that use these SSL database connection paths, an attacker able to impersonate or intercept the OVN endpoint on the management network can present a rogue self-signed certificate chain, and Incus will accept this certificate as valid. This issue defeats the intended CA-based trust model for OVN database connections and permits endpoint impersonation by an active attacker in a suitable network position. This issue is fixed in version 7.0.0.
📍 영향받는 시스템
OVN 기능을 SSL 데이터베이스 연결로 사용하는 Incus 7.0.0 미만 버전
⚔️ 공격 벡터
관리 네트워크에서 중간자 공격 등으로 OVN 엔드포인트를 가로채고, 자체 서명 인증서 체인을 제시하여 Incus가 이를 신뢰하도록 만듦
🛡️ 대응 방법
Incus를 7.0.0 이상으로 업그레이드하고, 관리 네트워크 접근을 제한하며, OVN 데이터베이스 연결에 SSL을 사용하는 경우 인증서 구성을 점검
🔧 검증 코드
출력된 버전이 7.0.0 미만이면 취약하므로 업데이트가 필요하고, 7.0.0 이상이면 수정된 버전입니다.
incus version 2>/dev/null || dpkg -l incus 2>/dev/null | grep incus