🇰🇷 한글 설명
libgit2 라이브러리의 OpenSSL 백엔드에서 IP-literal 호스트와 인증서의 SubjectAltName을 비교할 때 memcmp 결과가 반전되어 발생하는 취약점입니다. 이로 인해 인증서의 IP 주소가 일치하지 않음에도 불구하고 연결이 허용되어, 공격자가 신뢰할 수 있는 CA 인증서를 사용하여 HTTPS 연결을 가로챌 수 있습니다.
💡 쉬운 설명
인증서에 적힌 IP 주소와 실제 접속하려는 IP 주소가 다른데도 불구하고, 프로그램이 이를 올바르게 확인하지 못하는 오류입니다. 이를 통해 해커가 중간에서 통신 내용을 훔쳐볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
libgit2 is a portable C implementation of the Git core methods provided as a linkable library with a solid API, allowing to build Git functionality into your application. Prior to 1.8.6 and 1.9.5, verify_server_cert in src/libgit2/streams/openssl.c uses an inverted !!memcmp result in the GEN_IPADD branch when comparing an IP-literal host with a certificate IP SubjectAltName. OpenSSL builds reject matching IP addresses and accept mismatched IP addresses, allowing a network attacker with a CA-trusted certificate containing any IP SubjectAltName to intercept libgit2 connections to IP-literal HTTPS URLs. DNS SubjectAltName validation and non-OpenSSL TLS backends are not affected. This issue is fixed in versions 1.8.6 and 1.9.5.
📍 영향받는 시스템
libgit2 versions prior to 1.8.6 and 1.9.5 (using OpenSSL backend)
⚔️ 공격 벡터
네트워크 공격자가 CA로부터 신뢰받는 인증서를 사용하여 IP-literal HTTPS URL로의 연결을 가로채는 중간자 공격(MITM)
🛡️ 대응 방법
libgit2를 1.8.6 또는 1.9.5 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 libgit2 버전을 확인하여 1.8.6 또는 1.9.5 미만인지 체크합니다.
git --version 2>/dev/null || pkg-config --modversion libgit2 2>/dev/null