🇰🇷 한글 설명
wolfSSL의 OpenSSL 호환성 계층에서 인증서 검증 결함이 발견되었습니다. 공격자가 신뢰하는 루트 CA에서 합법적으로 서명한 중간 인증서(CA:FALSE)를 사용하면, 잎 인증서의 서명 검증이 생략됩니다. 결과적으로 정상적인 CA에서 발급받은 잎 인증서를 악용하여 임의의 주체명과 공개키를 가진 위조 인증서를 생성할 수 있습니다.
💡 쉬운 설명
wolfSSL 라이브러리가 인증서 서명을 제대로 확인하지 않아서, 공격자가 정상 인증서를 악용하여 가짜 인증서를 만들 수 있습니다. 웹브라우저나 서버가 이 가짜 인증서를 진짜로 인식하게 됩니다.
🇺🇸 원문 (English)
wolfSSL_X509_verify_cert in the OpenSSL compatibility layer accepts a certificate chain in which the leaf's signature is not checked, if the attacker supplies an untrusted intermediate with Basic Constraints `CA:FALSE` that is legitimately signed by a trusted root. An attacker who obtains any leaf certificate from a trusted CA (e.g. a free DV cert from Let's Encrypt) can forge a certificate for any subject name with any public key and arbitrary signature bytes, and the function returns `WOLFSSL_SUCCESS` / `X509_V_OK`. The native wolfSSL TLS handshake path (`ProcessPeerCerts`) is not susceptible and the issue is limited to applications using the OpenSSL compatibility API directly, which would include integrations of wolfSSL into nginx and haproxy.
📍 영향받는 시스템
wolfSSL (OpenSSL 호환 API 직접 사용하는 경우, nginx/haproxy 통합 포함)
⚔️ 공격 벡터
신뢰하는 CA에서 발급받은 유효한 잎 인증서로부터 중간 인증서를 거쳐 임의 주체의 위조 인증서 체인 구성
🛡️ 대응 방법
wolfSSL을 최신 보안 패치 버전으로 업데이트하여 인증서 검증 로직 수정
🔧 검증 코드
설치된 wolfSSL 버전을 확인하고, 취약점 패치가 적용된 버전 이상(보안 권고 참조)으로 업데이트되었는지 확인합니다.
dpkg -l 2>/dev/null | grep wolfssl || rpm -qa 2>/dev/null | grep wolfssl || find /usr -name 'libwolfssl*' 2>/dev/null
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
wolfSSL 제품 보안 업데이트 권고
P4
📅 2026-05-24 · sec_notice
wolfSSL 제품에서 Buffer Overflow 및 인증 우회 등 다수의 보안 취약점이 발견되었습니다. wolfSSL 5.9.1 미만 버전을 사용하는 사용자는 보안 위협 방지를 위해 최신 버전인 5.9.1 이상으로 업데이트를 권고합니다.