🇰🇷 한글 설명
Ruby CSS Parser gem이 HTTPS 연결을 검증하지 않아 중간자(MITM) 공격자가 CSS 콘텐츠를 주입하거나 수정할 수 있는 취약점입니다. OpenSSL::SSL::VERIFY_NONE 설정으로 인해 신뢰할 수 없는 인증서도 검증 없이 수용됩니다.
💡 쉬운 설명
웹사이트의 CSS 파일을 인터넷에서 가져올 때 누군가가 가짜 파일을 주입할 수 있습니다. 마치 은행 사이트에 위장하는 것처럼, 공격자가 진짜인 척 거짓 파일을 보낼 수 있다는 뜻입니다.
🇺🇸 원문 (English)
css_parser is a Ruby CSS parser. Prior to 2.1.0 and 1.22.0, the CSS Parser gem does not validate HTTPS connections, allowing a Man-in-the-Middle (MITM) attacker to inject or modify CSS content when stylesheets are loaded via HTTPS. The connection is established with OpenSSL::SSL::VERIFY_NONE, meaning any HTTPS certificate—even entirely untrusted—will be accepted without validation. This vulnerability is fixed in 2.1.0 and 1.22.0.
📍 영향받는 시스템
css_parser gem < 2.1.0 and < 1.22.0
⚔️ 공격 벡터
HTTPS 스타일시트 로드 중 네트워크 중간에서 공격자가 CSS 콘텐츠 주입
🛡️ 대응 방법
css_parser를 2.1.0 또는 1.22.0 이상으로 업그레이드 (gem update css_parser)
🔧 검증 코드
명령어가 css_parser 버전 2.1.0 이상 또는 1.22.0 이상을 표시하면 안전함. 그 이하 버전이나 설치되지 않았으면 업그레이드 필요.
gem list | grep css_parser && ruby -e "require 'css_parser'; puts CssParser::VERSION rescue puts 'Not installed'" 2>&1